CVE-2026-15948
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka Hydra Booking dla WordPressa do wersji 1.2.2 włącznie jest podatna na przechowywany atak XSS przez parametr 'first_name'. Atakujący z dostępem na poziomie hosta może wstrzyknąć złośliwe skrypty, które wykonają się podczas przeglądania zainfekowanych stron.
Ocena ryzyka
Ryzyko obejmuje przejęcie sesji użytkowników, kradzież danych lub rozprzestrzenianie złośliwego oprogramowania. Ponieważ rola hosta może być samodzielnie przypisana przez każdego odwiedzającego, atak jest praktycznie możliwy dla nieuwierzytelnionych użytkowników.
Rekomendacja
Zaleca się aktualizację wtyczki do wersji z poprawką oraz weryfikację konfiguracji rejestracji, aby uniemożliwić samodzielne nadawanie uprawnień hosta. Należy również regularnie skanować strony pod kątem złośliwych skryptów.
Inne podatności w Hydra Booking
Zobacz wszystkie- CVE-2026-92425Średnie
Wtyczka Hydra Booking — Appointment Scheduling & Booking Calendar dla WordPressa przed wersją 1.2.4 nie przeprowadza kontroli autoryzacji na poziomie obiektu w kilku operacjach zarządzania hostami. Pozwala to użytkownikom z niestandardową rolą przypisaną przez administratora na odczyt, modyfikację i trwałe usunięcie rekordów innych hostów oraz powiązanych kont użytkowników WordPressa.
- CVE-2026-92421Średnie
Wtyczka Hydra Booking — Appointment Scheduling & Booking Calendar dla WordPressa przed wersją 1.2.3 nie weryfikuje, czy rekord hosta modyfikowany przez użytkownika należy do niego. Pozwala to uwierzytelnionym użytkownikom z rolą hosta przypisaną przez wtyczkę na modyfikację danych profilu innych hostów oraz przypisanie sobie własności rekordu innego hosta.
- CVE-2026-92420Niskie
Wtyczka Hydra Booking — Appointment Scheduling & Booking Calendar dla WordPressa przed wersją 1.2.2 nie weryfikuje, czy rezerwacja należy do żądającego użytkownika przed jej modyfikacją lub usunięciem na dwóch endpointach rezerwacji. Pozwala to użytkownikowi na poziomie dostawcy na anulowanie i trwałe usunięcie rezerwacji innych dostawców na tej samej stronie.
- CVE-2026-28188Wysokie
Wtyczka Hydra Booking w wersjach do 1.2.2 zawiera podatność na nieuwierzytelniony złamany dostęp do kontroli (Broken Access Control). Osoba atakująca bez logowania może wykorzystać tę lukę do nieautoryzowanych operacji.
- CVE-2026-57388Wysokie
Wtyczka Hydra Booking dla WordPressa zawiera podatność na trwałe ataki XSS (Stored Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Luka występuje we wszystkich wersjach do 1.1.44 włącznie.
- CVE-2026-42675Wysokie
Podatność brakującej autoryzacji w Themefic Hydra Booking do wersji 1.1.41. Umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-39541Średnie
Wtyczka Hydra Booking dla WordPressa zawiera podatność na Stored XSS. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce innych użytkowników.
- CVE-2025-49377Średnie
Wtyczka Hydra Booking dla Themefic ma podatność polegającą na braku autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji do 1.1.9 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Hydra Booking — Appointment Scheduling & Booking Calendar plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'first_name' parameter in all versions up to, and including, 1.2.2 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with host-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The tfhb_host role required to exploit this vulnerability can be self-assigned by any visitor via the plugin's public Signup shortcode, making this effectively exploitable by unauthenticated users who complete the registration flow.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS