CVE-2026-16282
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka Appointment Hour Booking dla WordPressa przed wersją 1.5.88 nie weryfikuje ceny dostarczonej przez klienta z ceną usługi skonfigurowaną po stronie serwera. Nieuwierzytelnieni użytkownicy mogą przesłać dowolną cenę końcową (w tym zero lub ujemną), która jest zapisywana jako wiążąca cena rezerwacji, co uszkadza rekordy rezerwacji i płatności.
Ocena ryzyka
Atakujący może zmienić ceny rezerwacji, co prowadzi do strat finansowych, błędnych raportów i problemów z rozliczeniami. Może również zakłócić integralność danych rezerwacji.
Rekomendacja
Zaktualizuj wtyczkę Appointment Hour Booking do wersji 1.5.88 lub nowszej, która zawiera poprawkę walidacji ceny. Dodatkowo rozważ dodanie dodatkowej walidacji po stronie serwera dla krytycznych operacji.
Inne podatności w Appointment Hour Booking
Zobacz wszystkie- CVE-2026-96573Wysokie
Wtyczka Appointment Hour Booking – Booking Calendar dla WordPress jest podatna na trwałe wstrzyknięcie skryptu DOM (stored DOM-based XSS) poprzez jednowierszowe pole formularza rezerwacji w komponencie renderującym listę kalendarza we wszystkich wersjach do 1.5.97 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów do stron, które wykonają się przy każdej wizycie użytkownika. Wykorzystanie wymaga ustawienia parametru 'list_readmore_numberofwords' na dodatnią wartość całkowitą; domyślna wartość 0 omija gałąź dekodowania i obcinania, przez co nie jest podatna na wykorzystanie.
- CVE-2026-65514Średnie
Wtyczka Appointment Hour Booking w wersjach do 1.5.86 zawiera podatność na atak XSS (Cross Site Scripting) z poziomu kontrybutora. Użytkownik z rolą kontrybutora może wstrzyknąć złośliwy skrypt JavaScript.
- CVE-2026-66679Średnie
Podatność typu Broken Access Control (złamana kontrola dostępu) w wtyczce Appointment Hour Booking w wersjach do 1.5.91. Atak nie wymaga uwierzytelnienia.
Oryginalny opis (angielski, źródło NVD)
The Appointment Hour Booking WordPress plugin before 1.5.88 does not validate a client-supplied booking price against the server-side configured service price, allowing unauthenticated users to submit an arbitrary final price (including zero or negative) that is stored as the authoritative booking price, corrupting booking and payment records.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS