CVE-2026-39541

Wtyczka Hydra Booking — Appointment Scheduling & Booking Calendar dla WordPressa przed wersją 1.2.4 nie przeprowadza kontroli autoryzacji na poziomie obiektu w kilku operacjach zarządzania hostami. Pozwala to użytkownikom z niestandardową rolą przypisaną przez administratora na odczyt, modyfikację i trwałe usunięcie rekordów innych hostów oraz powiązanych kont użytkowników WordPressa.

Wtyczka Hydra Booking — Appointment Scheduling & Booking Calendar dla WordPressa przed wersją 1.2.3 nie weryfikuje, czy rekord hosta modyfikowany przez użytkownika należy do niego. Pozwala to uwierzytelnionym użytkownikom z rolą hosta przypisaną przez wtyczkę na modyfikację danych profilu innych hostów oraz przypisanie sobie własności rekordu innego hosta.

Wtyczka Hydra Booking — Appointment Scheduling & Booking Calendar dla WordPressa przed wersją 1.2.2 nie weryfikuje, czy rezerwacja należy do żądającego użytkownika przed jej modyfikacją lub usunięciem na dwóch endpointach rezerwacji. Pozwala to użytkownikowi na poziomie dostawcy na anulowanie i trwałe usunięcie rezerwacji innych dostawców na tej samej stronie.

Wtyczka Hydra Booking dla WordPressa do wersji 1.2.2 włącznie jest podatna na przechowywany atak XSS przez parametr 'first_name'. Atakujący z dostępem na poziomie hosta może wstrzyknąć złośliwe skrypty, które wykonają się podczas przeglądania zainfekowanych stron.

Wtyczka Hydra Booking w wersjach do 1.2.2 zawiera podatność na nieuwierzytelniony złamany dostęp do kontroli (Broken Access Control). Osoba atakująca bez logowania może wykorzystać tę lukę do nieautoryzowanych operacji.

Wtyczka Hydra Booking dla WordPressa zawiera podatność na trwałe ataki XSS (Stored Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Luka występuje we wszystkich wersjach do 1.1.44 włącznie.

Podatność brakującej autoryzacji w Themefic Hydra Booking do wersji 1.1.41. Umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.