CVE-2026-73395
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Wtyczka Booking calendar, Appointment Booking System w wersji 3.2.36 i starszych ma podatność na niebezpieczne bezpośrednie odwołania do obiektów (IDOR) bez wymaganego logowania. Oznacza to, że nieuwierzytelniony atakujący może uzyskać dostęp do obiektów (np. rezerwacji) bez autoryzacji.
Ocena ryzyka
Ryzyko polega na tym, że atakujący może uzyskać dostęp do wrażliwych danych lub zasobów, co może prowadzić do naruszenia poufności i integralności.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji, która zawiera poprawkę tej luki.
Inne podatności w Booking calendar, Appointment Booking System
Zobacz wszystkie- CVE-2026-8840Średnie
Wtyczka Booking calendar, Appointment Booking System dla WordPressa do wersji 3.2.36 włącznie ma podatność na obejście autoryzacji. Nieuwierzytelnieni atakujący mogą oznaczać rezerwacje jako opłacone lub zakończone, anulować płatności, automatycznie zatwierdzać rezerwacje i wywoływać e-maile transakcyjne.
- CVE-2026-57778Średnie
Wtyczka Booking calendar, Appointment Booking System dla WordPressa zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 3.2.36 włącznie.
- CVE-2025-67574Średnie
Wtyczka Booking calendar, Appointment Booking System (autorstwa wpdevart) zawiera podatność na brak autoryzacji, która pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu. Problem dotyczy wersji od n/a do 3.2.30 włącznie.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Insecure Direct Object References (IDOR) in Booking calendar, Appointment Booking System <= 3.2.36 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS