CVE-2026-84166

ŚrednieCVSS 4.3

Opublikowano: 12/10/2026(UTC)Zaktualizowano: 13/10/2026(UTC)Przetłumaczono: 12/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.10%

Percentyl 1 - wyżej niż 1% wszystkich znanych CVE

Streszczenie

Wtyczka Hotel Booking WordPress do wersji 3.8 nie implementuje ochrony CSRF w administracyjnym zarządzaniu zamówieniami rezerwacji, co pozwala atakującym na nakłonienie zalogowanego administratora do tworzenia, usuwania lub modyfikowania dowolnych rekordów zamówień rezerwacji za pomocą sfałszowanego żądania.

Ocena ryzyka

Ryzyko obejmuje możliwość nieautoryzowanej modyfikacji danych rezerwacji przez atakującego, co może prowadzić do zakłócenia działalności, utraty danych lub oszustw. Administratorzy mogą zostać oszukani do wykonania szkodliwych działań.

Rekomendacja

Zaleca się aktualizację wtyczki Hotel Booking do najnowszej wersji z poprawką. Należy również wdrożyć tokeny CSRF we wszystkich formularzach administracyjnych.

Inne podatności w Hotel Booking WordPress plugin

CVE-2026-84167Średnie
Wtyczka Hotel Booking WordPress do wersji 3.8 nie weryfikuje, czy rekord rezerwacji należy do użytkownika żądającego, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak Subscriber, na odczytanie szczegółów rezerwacji innych klientów, w tym ich imienia, adresu e-mail, numeru telefonu i adresu pocztowego, poprzez odwołanie się do identyfikatora, którego nie posiadają.

Oryginalny opis (angielski, źródło NVD)

The Hotel Booking WordPress plugin through 3.8 does not implement CSRF protection on its administrative booking order management, allowing attackers to trick a logged-in administrator into creating, deleting, or modifying arbitrary booking order records via a forged request.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS