CVE-2026-6723
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin dla WordPressa jest podatna na nieprawidłową autoryzację we wszystkich wersjach do 1.6.11.11 włącznie, z powodu punktu końcowego REST API do aktualizacji rezerwacji, który nie ogranicza, które pola mogą być modyfikowane przez klientów uwierzytelnionych tokenem. Umożliwia to nieuwierzytelnionym atakującym modyfikację pól kontrolowanych przez administratora w rezerwacji, w tym fałszowanie potwierdzenia płatności, przypisanie rezerwacji do innego użytkownika oraz zmianę typu usługi.
Ocena ryzyka
Ryzyko obejmuje możliwość manipulowania rezerwacjami, co może prowadzić do fałszywych potwierdzeń płatności, nieautoryzowanych zmian w harmonogramie lub naruszenia integralności danych. Może to wpłynąć na zaufanie klientów i spowodować straty finansowe.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Appointment Booking Calendar do najnowszej wersji z poprawką. Należy również ograniczyć dostęp do API i regularnie monitorować logi rezerwacji pod kątem podejrzanych zmian.
Inne podatności w Appointment Booking Calendar
Zobacz wszystkie- CVE-2026-13358Średnie
Wtyczka Appointment Booking Calendar dla WordPressa do wersji 1.6.12.10 włącznie jest podatna na Insecure Direct Object Reference przez parametr ssa_past_appointments z powodu braku walidacji klucza kontrolowanego przez użytkownika. Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą uzyskać dostęp do rekordów wizyt innych użytkowników, w tym tokenów własności (32-znakowe hashe) i pełnych danych osobowych (PII). Endpoint REST jest zarejestrowany bezwarunkowo i wymaga tylko uprawnień edit_posts.
- CVE-2026-12113Średnie
Wtyczka Appointment Booking Calendar dla WordPressa do wersji 1.4.02 włącznie ujawnia wrażliwe dane poprzez parametr cpabc_appointments_filter_list. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wyodrębnienie danych osobowych klientów, takich jak imiona, adresy e-mail, numery telefonów, komentarze do rezerwacji i inne informacje umożliwiające identyfikację.
- CVE-2025-13317Średnie
Wtyczka Appointment Booking Calendar for WordPress (wersje do 1.3.96 włącznie) jest podatna na brak autoryzacji, ponieważ udostępnia nieuwierzytelniony punkt końcowy przetwarzania rezerwacji (cpabc_appointments_check_IPN_verification), który ufa powiadomieniom o płatnościach dostarczonym przez atakującego bez weryfikacji ich pochodzenia i autentyczności. Nieuwierzytelnieni atakujący mogą dowolnie potwierdzać rezerwacje i wstawiać je do kalendarza za pomocą parametru 'cpabc_ipncheck', wywołując powiadomienia e-mail i zakłócając działanie.
- CVE-2025-64261Średnie
Wtyczka Appointment Booking Calendar zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 1.3.95 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Appointment Booking Calendar — Simply Schedule Appointments Booking Plugin plugin for WordPress is vulnerable to Incorrect Authorization in all versions up to, and including, 1.6.11.11. This is due to the appointment update REST API endpoint not restricting which fields can be modified by token-authenticated customers. This makes it possible for unauthenticated attackers to modify admin-controlled fields on that appointment, including faking payment confirmation, reassigning the appointment to another user, and changing the service type.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS