CVE-2026-39678
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Brak autoryzacji we wtyczce Pinpoint Booking System (booking-system) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 2.9.9.6.5 włącznie.
Ocena ryzyka
Nieautoryzowani użytkownicy mogą uzyskać dostęp do funkcji lub danych, które powinny być chronione, co może prowadzić do naruszenia poufności lub integralności.
Rekomendacja
Zaleca się aktualizację wtyczki Pinpoint Booking System do najnowszej dostępnej wersji, która usuwa tę podatność.
Inne podatności w Pinpoint Booking System
Zobacz wszystkie- CVE-2026-12128Średnie
Wtyczka Pinpoint Booking System – Version 2 dla WordPressa do wersji 2.9.9.6.8 włącznie jest podatna na manipulację ceną przez parametr 'cart_data'. Nieuwierzytelnieni atakujący mogą zmienić cenę produktu rezerwowalnego w WooCommerce na dowolną wartość, co umożliwia zakup po zaniżonej cenie.
- CVE-2026-15403Średnie
Wtyczka Pinpoint Booking System – Version 2 dla WordPressa do wersji 2.9.9.6.9 zawiera podatność na blind SQL Injection przez parametr 'field' z powodu niedostatecznego escapowania i przygotowania zapytań. Autoryzowani atakujący z dostępem administratora mogą dołączać dodatkowe zapytania SQL i wyodrębniać wrażliwe dane z bazy.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in DOTonPAPER Pinpoint Booking System booking-system allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects Pinpoint Booking System: from n/a through <= 2.9.9.6.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS