CVE-2026-77705
NieznaneStreszczenie
Wtyczka WordPress Booking for Appointments and Events Calendar w wersji przed 2.4.10 nie weryfikuje, czy użytkownik edytujący rekord klienta lub pracownika ma prawo modyfikować powiązane z nim konto WordPress. Umożliwia to użytkownikom z uprawnieniami do zarządzania klientami lub pracownikami w Amelia ustawienie hasła i adresu e-mail kont WordPress innych użytkowników i przejęcie tych kont.
Ocena ryzyka
Osoba z uprawnieniami do zarządzania klientami lub pracownikami może przejąć konta WordPress innych użytkowników, w tym konta o wyższych uprawnieniach. Może to prowadzić do eskalacji uprawnień i przejęcia witryny.
Rekomendacja
Zaktualizuj wtyczkę Booking for Appointments and Events Calendar do wersji 2.4.10 lub nowszej. Sprawdź, czy konta WordPress nie zostały zmodyfikowane przez nieuprawnione osoby.
Inne podatności w Booking for Appointments and Events Calendar WordPress plugin
Zobacz wszystkie- CVE-2026-77689Nieznane
Wtyczka WordPress Booking for Appointments and Events Calendar w wersji przed 9.8.1 nie weryfikuje, czy płatność została faktycznie pobrana, przed zapisaniem rezerwacji jako opłaconej, ufając bramce płatności wskazanej w publicznym, nieuwierzytelnionym żądaniu rezerwacji, nawet gdy witryna nigdy nie skonfigurowała tej bramki. Umożliwia to nieuwierzytelnionemu atakującemu uzyskanie potwierdzonych, w pełni opłaconych rezerwacji bez pobrania jakiejkolwiek płatności.
- CVE-2026-14211Niskie
Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 9.7 nie weryfikuje, czy uwierzytelniony pracownik (dostawca) jest powiązany z klientem, którego dane są dostępne, co pozwala każdemu pracownikowi z loginem do Panelu Pracownika na odczyt i modyfikację danych osobowych dowolnego klienta poprzez enumerację sekwencyjnych identyfikatorów.
Oryginalny opis (angielski, źródło NVD)
The Booking for Appointments and Events Calendar WordPress plugin before 2.4.10 does not verify that the user editing a customer or employee record is entitled to modify the WordPress account linked to it, allowing users holding Amelia's customer or employee management permissions to set the password and email address of other users' WordPress accounts and take them over.