CVE-2026-77689
NieznaneStreszczenie
Wtyczka WordPress Booking for Appointments and Events Calendar w wersji przed 9.8.1 nie weryfikuje, czy płatność została faktycznie pobrana, przed zapisaniem rezerwacji jako opłaconej, ufając bramce płatności wskazanej w publicznym, nieuwierzytelnionym żądaniu rezerwacji, nawet gdy witryna nigdy nie skonfigurowała tej bramki. Umożliwia to nieuwierzytelnionemu atakującemu uzyskanie potwierdzonych, w pełni opłaconych rezerwacji bez pobrania jakiejkolwiek płatności.
Ocena ryzyka
Atakujący może bez logowania tworzyć potwierdzone i oznaczone jako opłacone rezerwacje bez dokonywania płatności. Powoduje to straty finansowe i zajęcie terminów należących do płacących klientów.
Rekomendacja
Zaktualizuj wtyczkę Booking for Appointments and Events Calendar do wersji 9.8.1 lub nowszej. Zweryfikuj istniejące rezerwacje oznaczone jako opłacone pod kątem rzeczywistych płatności.
Inne podatności w Booking for Appointments and Events Calendar WordPress plugin
Zobacz wszystkie- CVE-2026-77705Nieznane
Wtyczka WordPress Booking for Appointments and Events Calendar w wersji przed 2.4.10 nie weryfikuje, czy użytkownik edytujący rekord klienta lub pracownika ma prawo modyfikować powiązane z nim konto WordPress. Umożliwia to użytkownikom z uprawnieniami do zarządzania klientami lub pracownikami w Amelia ustawienie hasła i adresu e-mail kont WordPress innych użytkowników i przejęcie tych kont.
- CVE-2026-14211Niskie
Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 9.7 nie weryfikuje, czy uwierzytelniony pracownik (dostawca) jest powiązany z klientem, którego dane są dostępne, co pozwala każdemu pracownikowi z loginem do Panelu Pracownika na odczyt i modyfikację danych osobowych dowolnego klienta poprzez enumerację sekwencyjnych identyfikatorów.
Oryginalny opis (angielski, źródło NVD)
The Booking for Appointments and Events Calendar WordPress plugin before 9.8.1 does not verify that a payment was actually taken before recording a booking as paid, trusting the payment gateway named in a public, unauthenticated booking request even when the site has never configured that gateway. This lets an unauthenticated attacker obtain confirmed, fully paid appointments and events without any payment being collected.