CVE-2026-17022
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka Salon Booking System dla WordPressa przed wersją 10.30.34 nieprawidłowo weryfikuje token własności rezerwacji przed jej załadowaniem w krokach potwierdzenia kreatora rezerwacji. Umożliwia to nieuwierzytelnionym atakującym ujawnienie rekordów rezerwacji innych klientów, w tym danych osobowych, poprzez podanie sekwencyjnego identyfikatora rezerwacji.
Ocena ryzyka
Ryzyko naruszenia prywatności klientów i wycieku danych osobowych, co może prowadzić do naruszeń RODO i utraty zaufania.
Rekomendacja
Zaktualizuj wtyczkę Salon Booking System do wersji 10.30.34 lub nowszej, która zawiera poprawkę walidacji tokenów.
Inne podatności w Salon Booking System
Zobacz wszystkie- CVE-2026-40768Wysokie
W systemie rezerwacji salonu w wersjach do 10.30.24 występuje podatność na nieautoryzowane bezpośrednie odniesienia do obiektów (IDOR). Umożliwia to atakującym dostęp do zasobów, do których nie powinni mieć dostępu.
- CVE-2026-66453Krytyczne
Wtyczka Salon booking system w wersjach do 10.30.26 zawiera podatność na nieuwierzytelnione złamanie uwierzytelniania (Broken Authentication). Osoba atakująca bez logowania może obejść mechanizmy uwierzytelniania i uzyskać dostęp do kont użytkowników lub administratorów.
- CVE-2026-17023Średnie
Wtyczka Salon Booking System dla WordPressa do wersji 10.30.33 nie przeprowadza żadnej kontroli uprawnień ani nie weryfikuje wartości stanu OAuth w swoim wywołaniu zwrotnym autoryzacji Google Calendar, które jest również podpięte dla nieuwierzytelnionych użytkowników. Umożliwia to nieuwierzytelnionemu atakującemu nadpisanie zapisanych tokenów połączenia z Kalendarzem Google tokenami kontrolowanymi przez atakującego i przejęcie integracji. Wykorzystanie wymaga, aby witryna skonfigurowała własnego klienta OAuth Google dla funkcji kalendarza.
- CVE-2026-17021Średnie
Wtyczka Salon Booking System dla WordPressa przed wersją 10.30.34 nie ogranicza prawidłowo dostępu do niektórych akcji AJAX modyfikacji rezerwacji i nie weryfikuje własności docelowej rezerwacji, co pozwala nieuwierzytelnionym użytkownikom na manipulowanie zapisaną sumą dowolnych rezerwacji.
- CVE-2026-17020Średnie
Wtyczka Salon Booking System dla WordPressa do wersji 10.31.0 nie weryfikuje, czy żądana rezerwacja należy do wywołującego na jednym z jej endpointów REST API, wymagając jedynie podstawowej zdolności odczytu, co pozwala każdemu uwierzytelnionemu użytkownikowi (w tym Subscriberowi lub samodzielnie zarejestrowanemu kontu klienta) na ujawnienie danych osobowych dowolnej rezerwacji klienta, takich jak imię, e-mail, numer telefonu, adres i prywatne notatki, poprzez enumerację identyfikatorów rezerwacji.
- CVE-2026-11887Średnie
Wtyczka Salon Booking System dla WordPress przed wersją 10.30.20 nie posiada odpowiednich kontroli autoryzacji w jednej z akcji AJAX, co pozwala każdemu uwierzytelnionemu użytkownikowi (np. subskrybentowi) na modyfikację ustawień wtyczki i ominięcie ręcznego zatwierdzania nowych rezerwacji.
- CVE-2026-42666Wysokie
W systemie rezerwacji salonu w wersjach do 10.30.25 występuje nieautoryzowana luka w kontroli dostępu, która może umożliwić nieuprawnionym użytkownikom dostęp do zasobów.
Oryginalny opis (angielski, źródło NVD)
The Salon Booking System WordPress plugin before 10.30.34 does not properly validate a booking's ownership token before loading it in its booking-wizard confirmation steps, allowing unauthenticated attackers to disclose other customers' booking records, including personal information, by supplying a sequential booking identifier.