CVE-2026-39786
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress BA Book Everything w wersjach do 1.8.33 zawiera podatność Cross Site Scripting (XSS), którą można wykorzystać bez uwierzytelnienia. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt do strony.
Ocena ryzyka
Może to prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, kradzieży sesji lub przejęcia konta. Ryzyko dotyczy wszystkich witryn z zainstalowaną podatną wersją wtyczki.
Rekomendacja
Zaktualizuj wtyczkę BA Book Everything do najnowszej wersji (powyżej 1.8.33). Jeśli aktualizacja nie jest możliwa, rozważ wyłączenie wtyczki do czasu wydania poprawki.
Inne podatności w BA Book Everything
Zobacz wszystkie- CVE-2026-102565Wysokie
Wtyczka BA Book Everything dla WordPressa jest podatna na przechowywany atak XSS przez parametr 'booking_service_qty'. Brak odpowiedniego czyszczenia danych wejściowych i wyjściowych pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypty, które wykonają się po otwarciu zainfekowanej strony.
- CVE-2026-96039Wysokie
Wtyczka BA Book Everything dla WordPressa (wersje do 1.8.27 włącznie) jest podatna na przechowywany XSS poprzez parametr first_name z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Nieuwierzytelniony atakujący może uzyskać ważne poświadczenia order_id, order_num i order_hash wymagane do osiągnięcia podatnego handlera action_to_pay() po prostu składając rezerwację gościa przez publiczny shortcode [babe-booking-form], co czyni pełny łańcuch exploitacji osiągalnym bez żadnego konta.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Cross Site Scripting (XSS) in BA Book Everything <= 1.8.33 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS