CVE-2026-42666

W systemie rezerwacji salonu w wersjach do 10.30.24 występuje podatność na nieautoryzowane bezpośrednie odniesienia do obiektów (IDOR). Umożliwia to atakującym dostęp do zasobów, do których nie powinni mieć dostępu.

Wtyczka Salon booking system w wersjach do 10.30.26 zawiera podatność na nieuwierzytelnione złamanie uwierzytelniania (Broken Authentication). Osoba atakująca bez logowania może obejść mechanizmy uwierzytelniania i uzyskać dostęp do kont użytkowników lub administratorów.

Wtyczka Salon Booking System dla WordPressa do wersji 10.30.33 nie przeprowadza żadnej kontroli uprawnień ani nie weryfikuje wartości stanu OAuth w swoim wywołaniu zwrotnym autoryzacji Google Calendar, które jest również podpięte dla nieuwierzytelnionych użytkowników. Umożliwia to nieuwierzytelnionemu atakującemu nadpisanie zapisanych tokenów połączenia z Kalendarzem Google tokenami kontrolowanymi przez atakującego i przejęcie integracji. Wykorzystanie wymaga, aby witryna skonfigurowała własnego klienta OAuth Google dla funkcji kalendarza.

Wtyczka Salon Booking System dla WordPressa przed wersją 10.30.34 nieprawidłowo weryfikuje token własności rezerwacji przed jej załadowaniem w krokach potwierdzenia kreatora rezerwacji. Umożliwia to nieuwierzytelnionym atakującym ujawnienie rekordów rezerwacji innych klientów, w tym danych osobowych, poprzez podanie sekwencyjnego identyfikatora rezerwacji.

Wtyczka Salon Booking System dla WordPressa przed wersją 10.30.34 nie ogranicza prawidłowo dostępu do niektórych akcji AJAX modyfikacji rezerwacji i nie weryfikuje własności docelowej rezerwacji, co pozwala nieuwierzytelnionym użytkownikom na manipulowanie zapisaną sumą dowolnych rezerwacji.

Wtyczka Salon Booking System dla WordPressa do wersji 10.31.0 nie weryfikuje, czy żądana rezerwacja należy do wywołującego na jednym z jej endpointów REST API, wymagając jedynie podstawowej zdolności odczytu, co pozwala każdemu uwierzytelnionemu użytkownikowi (w tym Subscriberowi lub samodzielnie zarejestrowanemu kontu klienta) na ujawnienie danych osobowych dowolnej rezerwacji klienta, takich jak imię, e-mail, numer telefonu, adres i prywatne notatki, poprzez enumerację identyfikatorów rezerwacji.

Wtyczka Salon Booking System dla WordPress przed wersją 10.30.20 nie posiada odpowiednich kontroli autoryzacji w jednej z akcji AJAX, co pozwala każdemu uwierzytelnionemu użytkownikowi (np. subskrybentowi) na modyfikację ustawień wtyczki i ominięcie ręcznego zatwierdzania nowych rezerwacji.