CVE-2026-16582

ŚrednieCVSS 5.3

Opublikowano: 17/09/2026(UTC)Zaktualizowano: 18/09/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Wtyczka Booking for Appointments and Events Calendar – Amelia dla WordPressa, we wszystkich wersjach do 2.4.5 włącznie, jest podatna na nieautoryzowaną modyfikację danych. Wynika to z akceptowania przez wtyczkę identyfikatora realizacji pakietu dostarczonego przez klienta jako dowodu płatności bez jego walidacji. Umożliwia to nieuwierzytelnionym atakującym tworzenie zatwierdzonych rezerwacji wizyt bez dokonania płatności.

Ocena ryzyka

Podatność umożliwia atakującym uzyskanie zatwierdzonych rezerwacji bez płacenia, co prowadzi do strat finansowych i nadużyć w systemie rezerwacji.

Rekomendacja

Zaleca się aktualizację wtyczki Amelia do najnowszej wersji, która zawiera poprawkę. Należy również wdrożyć walidację identyfikatorów realizacji pakietów po stronie serwera.

Inne podatności w Booking for Appointments and Events Calendar – Amelia

CVE-2026-14311Średnie
Wtyczka Booking for Appointments and Events Calendar – Amelia dla WordPressa, we wszystkich wersjach do 2.4.4 włącznie, jest podatna na nieautoryzowany dostęp i modyfikację danych z powodu braku weryfikacji własności na punkcie końcowym /users/customers/<id>. Umożliwia to uwierzytelnionym atakującym z rolą wpamelia-provider przeglądanie i modyfikowanie dowolnych klientów, w tym resetowanie haseł. Przejęcie kont użytkowników WordPressa, z rolami do Edytora włącznie, jest również możliwe, jeśli ten użytkownik dokonał rezerwacji w Amelia. Podatność dotyczy tylko wersji Premium wtyczki, gdzie obecny jest Panel Pracownika.

Oryginalny opis (angielski, źródło NVD)

The Booking for Appointments and Events Calendar – Amelia plugin for WordPress is vulnerable to unauthorized modification of data in all versions up to, and including, 2.4.5. This is due to the plugin accepting a client-supplied package-redemption identifier as proof of payment without validating it. This makes it possible for unauthenticated attackers to create approved appointment bookings without completing payment

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS