CVE-2026-40795
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Wersje Amelia do 2.2 zawierają błąd w kontroli dostępu, który może umożliwić nieautoryzowanym użytkownikom dostęp do zasobów subskrybentów.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do danych subskrybentów, co może prowadzić do wycieku informacji i naruszenia prywatności.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Amelia, aby usunąć tę podatność oraz wdrożenie dodatkowych środków kontroli dostępu.
Inne podatności w Amelia
Zobacz wszystkie- CVE-2026-57702Krytyczne
Wtyczka Amelia do WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) spowodowane niewłaściwą neutralizacją specjalnych elementów w zapytaniach SQL. Problem dotyczy wersji do 2.4.2 włącznie.
- CVE-2026-6286Wysokie
Wtyczka Amelia dla WordPressa do wersji 2.2 włącznie jest podatna na Stored Cross-Site Scripting przez pola nazw klienta. Obejście uwierzytelniania (brak weryfikacji nonce) pozwala niezautoryzowanym użytkownikom na przesyłanie danych rezerwacji, a w widoku kalendarza administratora nazwy klientów są interpolowane do literałów szablonów JavaScript i renderowane przez innerHTML bez odpowiedniego kodowania encji HTML. Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się po najechaniu kursorem na rezerwację.
- CVE-2026-14782Średnie
Wtyczka Amelia dla WordPressa jest podatna na atak SQL Injection podczas importu klientów. Luka występuje we wszystkich wersjach do 2.4.3 włącznie, z powodu niedostatecznego escapowania parametru i braku przygotowania zapytania SQL.
- CVE-2026-48889Wysokie
Wersje Amelia do 2.3 zawierają podatność umożliwiającą eskalację uprawnień subskrybenta.
- CVE-2026-40789Wysokie
Wersje Amelia do 2.2 mają lukę, która pozwala na nieautoryzowany dostęp do wrażliwych danych.
- CVE-2026-39487Wysokie
Wtyczka Amelia do WordPressa (ameliabooking) zawiera podatność na ślepe wstrzyknięcie SQL (Blind SQL Injection) w wersjach do 2.1.1 włącznie. Problem wynika z nieprawidłowej neutralizacji specjalnych elementów w poleceniach SQL.
Oryginalny opis (angielski, źródło NVD)
Subscriber Broken Access Control in Amelia <= 2.2 versions.