CVE-2026-14334
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka Booking calendar, Appointment Booking System do WordPressa do wersji 3.2.36 nie filtruje prawidłowo przesłanych plików SVG, co pozwala nieuwierzytelnionym atakującym na przesłanie pliku omijającego usuwanie skryptów i wykonującego dowolny kod JavaScript po otwarciu pliku, w tym w sesji administratora przeglądającego zgłoszenia.
Ocena ryzyka
Atakujący może przejąć sesję administratora lub wykonać złośliwy kod w kontekście przeglądarki, co może prowadzić do pełnej kompromitacji panelu administracyjnego WordPressa.
Rekomendacja
Zaktualizuj wtyczkę do najnowszej wersji, która prawidłowo filtruje pliki SVG, oraz rozważ dodatkowe zabezpieczenia, takie jak blokowanie przesyłania plików SVG przez nieuwierzytelnionych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Booking calendar, Appointment Booking System WordPress plugin through 3.2.36 does not properly sanitize uploaded SVG files, allowing unauthenticated attackers to upload a file that bypasses the Booking calendar, Appointment Booking System WordPress plugin through 3.2.36's script-stripping and executes arbitrary JavaScript when the SVG is opened, including in the session of an administrator who reviews the submitted booking.