CVE-2026-40774
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
W pakiecie Booking w wersjach do 1.7.06 występuje problem z nieautoryzowanym dostępem, który pozwala na złamanie kontroli dostępu.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do wrażliwych danych, co może prowadzić do wycieku informacji lub innych poważnych incydentów bezpieczeństwa.
Rekomendacja
Zaleca się aktualizację pakietu Booking do najnowszej wersji, aby usunąć tę podatność.
Inne podatności w Booking Package
Zobacz wszystkie- CVE-2026-16986Średnie
Wtyczka Booking Package dla WordPressa przed wersją 1.7.25 nie weryfikuje po stronie serwera kwoty płatności względem zapisanej ceny usługi, wyprowadzając oczekiwaną opłatę z wartości dostarczonych przez atakującego, więc nieuwierzytelniony atakujący może zapłacić dowolną ułamek rzeczywistej ceny usługi.
- CVE-2026-15335Wysokie
Wtyczka Booking Package dla WordPressa do wersji 1.7.20 zawiera podatność na ogólne wstrzykiwanie SQL przez parametr 'email' w formularzu (form<N>). Brak odpowiedniego escapowania i przygotowania zapytania SQL pozwala nieuwierzytelnionym atakującym na dołączanie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.
- CVE-2026-9851Wysokie
Podatność we wtyczce Booking Package dla WordPressa do wersji 1.7.16 włącznie umożliwia eskalację uprawnień poprzez przejęcie konta. Brakuje sprawdzenia uprawnień w punkcie końcowym AJAX package_app_action, co pozwala uwierzytelnionym atakującym z dostępem na poziomie edytora lub wyższym na zmianę adresu e-mail i hasła dowolnego konta, w tym administratora.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Broken Access Control in Booking Package <= 1.7.06 versions.