CVE-2026-59541
WysokieCVSS 8.8Streszczenie
Wtyczka WP BASE Booking w wersji 6.3.1 i starszych pozwala użytkownikowi z rolą Subscriber (subskrybent) na eskalację swoich uprawnień. Atakujący może uzyskać dostęp do funkcji zarezerwowanych dla administratorów.
Ocena ryzyka
Organizacja narażona jest na całkowite przejęcie kontroli nad systemem rezerwacji oraz potencjalnie nad całą instalacją WordPress.
Rekomendacja
Zaktualizuj wtyczkę WP BASE Booking do wersji powyżej 6.3.1, która blokuje możliwość eskalacji uprawnień przez subskrybentów.
Inne podatności w WP BASE Booking
Zobacz wszystkie- CVE-2026-73402Średnie
WP BASE Booking w wersjach do 6.3.2 zawiera podatność na Cross Site Scripting (XSS) wykorzystywaną przez subskrybentów.
- CVE-2026-103352Krytyczne
Wtyczka WP BASE Booking (wp-base-booking-of-appointments-services-and-events) zawiera podatność na ślepą iniekcję SQL (Blind SQL Injection) z powodu nieprawidłowej neutralizacji specjalnych elementów w poleceniu SQL. Podatność dotyczy wersji do 6.4.0 włącznie.
- CVE-2026-61962Krytyczne
Nieuwierzytelniona podatność na wykonanie dowolnego kodu w wtyczce WP BASE Booking w wersjach do 6.3.0. Atakujący może wykonać dowolny kod bez logowania.
- CVE-2026-103066Wysokie
Podatność niewłaściwej neutralizacji elementów specjalnych w poleceniu SQL (SQL Injection) we wtyczce WP BASE Booking firmy WP BASE pozwala na ślepą iniekcję SQL. Problem dotyczy WP BASE Booking w wersjach od n/a do 6.4.0.
- CVE-2026-39587Wysokie
W WP BASE Booking w wersjach do 5.9.0 występuje podatność umożliwiająca nieautoryzowane podniesienie uprawnień.
Oryginalny opis (angielski, źródło NVD)
Subscriber Privilege Escalation in WP BASE Booking <= 6.3.1 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS