CVE-2026-68566
KrytyczneCVSS 9.3Streszczenie
Podatność typu SQL Injection w wtyczce BookingPress Appointment Booking Pro, możliwa do wykorzystania bez uwierzytelnienia. Dotyczy wersji do 6.0.2 włącznie.
Ocena ryzyka
Atakujący bez logowania może wstrzykiwać zapytania SQL, co może prowadzić do wycieku danych, modyfikacji bazy danych lub przejęcia konta administratora.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki BookingPress Appointment Booking Pro do wersji, która naprawia tę podatność.
Inne podatności w BookingPress Appointment Booking Pro
Zobacz wszystkie- CVE-2026-9830Wysokie
Wtyczka bookingpress-appointment-booking-pro dla WordPressa przed wersją 5.7.3 nieprawidłowo implementuje funkcję sprawdzania uprawnień REST. Umożliwia to nieuwierzytelnionym atakującym dostęp do tras API, odczyt danych rezerwacji klientów oraz modyfikację rezerwacji innych użytkowników.
- CVE-2026-11823Wysokie
Wtyczka BookingPress Appointment Booking Pro dla WordPressa do wersji 5.7.1 włącznie zawiera podatność na iniekcję SQL w parametrze 'store_service_date' funkcji bpa_assign_staffmember_to_slots(). Problem wynika z użycia stripslashes_deep() na danych POST bez przygotowania zapytania przez $wpdb->prepare(), co pozwala nieuwierzytelnionym atakującym na dołączanie dodatkowych zapytań SQL.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated SQL Injection in BookingPress Appointment Booking Pro <= 6.0.2 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS