CVE-2026-14854

WysokieCVSS 7.5

Opublikowano: 11/10/2026(UTC)Zaktualizowano: 13/10/2026(UTC)Przetłumaczono: 11/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.34%

Percentyl 26 - wyżej niż 26% wszystkich znanych CVE

Streszczenie

Wtyczka WooCommerce Bookings dla WordPressa przed wersją 3.11.0 nie ogranicza wartości dostarczonej przez użytkownika przed użyciem jej do alokacji pamięci w jednej z nieuwierzytelnionych akcji AJAX, co pozwala nieuwierzytelnionym atakującym na wyczerpanie pamięci serwera i spowodowanie Denial of Service pojedynczym żądaniem.

Ocena ryzyka

Atak może doprowadzić do niedostępności usługi, co wpływa na ciągłość działania organizacji i może generować koszty związane z przestojem.

Rekomendacja

Zaktualizuj wtyczkę WooCommerce Bookings do wersji 3.11.0 lub nowszej, która zawiera poprawkę zabezpieczającą.

Inne podatności w WooCommerce Bookings

CVE-2026-14853Średnie
Wtyczka WooCommerce Bookings dla WordPressa przed wersją 3.9.0 nie wykonuje kontroli uprawnień w jednej z akcji AJAX, a sprawdzenie nonce może zostać ominięte przez pominięcie tokena, co pozwala użytkownikom z dostępem na poziomie Subscriber i wyżej na tworzenie szkiców produktów rezerwowalnych.

Oryginalny opis (angielski, źródło NVD)

The WooCommerce Bookings WordPress plugin before 3.11.0 does not limit a user-supplied value before using it to allocate memory in one of its unauthenticated AJAX actions, allowing unauthenticated attackers to exhaust server memory and cause a Denial of Service with a single request.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS