CVE-2026-74002
ŚrednieCVSS 5.3Streszczenie
Podatność nieuwierzytelnionego złamania kontroli dostępu (Broken Access Control) w wtyczce Booking Calendar w wersjach do 11.7 włącznie. Niezalogowani użytkownicy mogą uzyskać dostęp do funkcji rezerwacji i zarządzania, które powinny być ograniczone.
Ocena ryzyka
Atakujący może manipulować rezerwacjami, uzyskać dostęp do poufnych danych kalendarza lub zakłócić działanie systemu. Może to naruszyć poufność i dostępność.
Rekomendacja
Zalecana jest aktualizacja wtyczki Booking Calendar do wersji 11.8 lub nowszej. Należy również skonfigurować odpowiednie uprawnienia i kontrolować dostęp do zasobów.
Inne podatności w Booking Calendar
Zobacz wszystkie- CVE-2026-92619Wysokie
Wtyczka Booking Calendar dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 11.8.2 włącznie poprzez akcję AJAX wpbc_ajax_option_save. Uwierzytelniony atakujący z poziomem Editor może zapisywać opcje WordPressa, takie jak default_role=administrator, i utworzyć konto administratora.
- CVE-2026-92561Średnie
Wtyczka Booking Calendar dla WordPressa jest podatna na odbity XSS przez parametr 'options' we wszystkich wersjach do 11.8.2 włącznie z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia w link. Sprawdzenie nonce jest domyślnie pomijane, ponieważ opcja 'booking_is_nonce_at_front_end' jest domyślnie wyłączona.
- CVE-2026-59558Wysokie
Podatność na nieuwierzytelniony Cross-Site Scripting (XSS) we wtyczce Booking Calendar do wersji 11.4.2. Umożliwia atakującemu wstrzyknięcie złośliwego skryptu do strony.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Broken Access Control in Booking Calendar <= 11.7 versions.