CVE-2026-15153

ŚrednieCVSS 6.8

Opublikowano: 30/07/2026(UTC)Zaktualizowano: 30/07/2026(UTC)Przetłumaczono: 30/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

Wtyczka WP Hotel Booking dla WordPressa przed wersją 2.3.2 nie oczyszcza i nie escapuje parametru wyszukiwania na stronie administracyjnej przed użyciem go w zapytaniu SQL. Użytkownicy z rolami zarządzania rezerwacjami mogą przeprowadzać ataki SQL Injection.

Ocena ryzyka

Atakujący może uzyskać nieautoryzowany dostęp do bazy danych, wykraść lub zmodyfikować dane rezerwacji.

Rekomendacja

Zaktualizuj wtyczkę WP Hotel Booking do wersji 2.3.2 lub nowszej.

Inne podatności w WP Hotel Booking WordPress plugin

CVE-2026-9822Średnie
Wtyczka WP Hotel Booking dla WordPressa w wersjach przed 2.3.1 nie wymusza sprawdzania uprawnień w kilku swoich handlerach AJAX, co pozwala uwierzytelnionym użytkownikom z poziomem dostępu Subskrybenta na przeglądanie rezerwacji innych użytkowników, enumerowanie aktywnych kuponów oraz odczytywanie danych cenowych.

Oryginalny opis (angielski, źródło NVD)

The WP Hotel Booking WordPress plugin before 2.3.2 does not sanitise and escape a search parameter on an administrative listing before using it in a SQL query, allowing users holding the WP Hotel Booking WordPress plugin before 2.3.2's booking-management roles to perform SQL injection attacks.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS