CVE-2026-15403
ŚrednieCVSS 4.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Wtyczka Pinpoint Booking System – Version 2 dla WordPressa do wersji 2.9.9.6.9 zawiera podatność na blind SQL Injection przez parametr 'field' z powodu niedostatecznego escapowania i przygotowania zapytań. Autoryzowani atakujący z dostępem administratora mogą dołączać dodatkowe zapytania SQL i wyodrębniać wrażliwe dane z bazy.
Ocena ryzyka
Atakujący z uprawnieniami administratora może wyciec całą bazę danych, w tym dane użytkowników i hasła, co prowadzi do całkowitej kompromitacji systemu.
Rekomendacja
Należy zaktualizować wtyczkę Pinpoint Booking System do wersji 2.9.9.7 lub nowszej, jeśli dostępna. W międzyczasie ograniczyć dostęp do panelu administracyjnego tylko zaufanym osobom.
Inne podatności w Pinpoint Booking System
Zobacz wszystkie- CVE-2026-12128Średnie
Wtyczka Pinpoint Booking System – Version 2 dla WordPressa do wersji 2.9.9.6.8 włącznie jest podatna na manipulację ceną przez parametr 'cart_data'. Nieuwierzytelnieni atakujący mogą zmienić cenę produktu rezerwowalnego w WooCommerce na dowolną wartość, co umożliwia zakup po zaniżonej cenie.
- CVE-2026-39678Średnie
Brak autoryzacji we wtyczce Pinpoint Booking System (booking-system) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 2.9.9.6.5 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Pinpoint Booking System – Version 2 plugin for WordPress is vulnerable to blind SQL Injection via the 'field' parameter in all versions up to, and including, 2.9.9.6.9 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with administrator-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database. The nonce required to reach the vulnerable endpoint is emitted on all plugin admin pages loaded under manage_options, making it trivially obtainable by any authenticated administrator.