CVE-2026-84167

ŚrednieCVSS 4.3

Opublikowano: 12/10/2026(UTC)Zaktualizowano: 13/10/2026(UTC)Przetłumaczono: 12/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Wtyczka Hotel Booking WordPress do wersji 3.8 nie weryfikuje, czy rekord rezerwacji należy do użytkownika żądającego, co pozwala każdemu uwierzytelnionemu użytkownikowi, takiemu jak Subscriber, na odczytanie szczegółów rezerwacji innych klientów, w tym ich imienia, adresu e-mail, numeru telefonu i adresu pocztowego, poprzez odwołanie się do identyfikatora, którego nie posiadają.

Ocena ryzyka

Ryzyko obejmuje naruszenie prywatności klientów i wyciek danych osobowych, co może prowadzić do konsekwencji prawnych i utraty zaufania. Uwierzytelnieni użytkownicy o niskich uprawnieniach mogą uzyskać dostęp do wrażliwych informacji.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki Hotel Booking do najnowszej wersji z poprawką. Należy również wdrożyć kontrolę dostępu, aby użytkownicy mogli odczytywać tylko własne rezerwacje.

Inne podatności w Hotel Booking WordPress plugin

CVE-2026-84166Średnie
Wtyczka Hotel Booking WordPress do wersji 3.8 nie implementuje ochrony CSRF w administracyjnym zarządzaniu zamówieniami rezerwacji, co pozwala atakującym na nakłonienie zalogowanego administratora do tworzenia, usuwania lub modyfikowania dowolnych rekordów zamówień rezerwacji za pomocą sfałszowanego żądania.

Oryginalny opis (angielski, źródło NVD)

The Hotel Booking WordPress plugin through 3.8 does not verify that a booking record belongs to the user requesting it, allowing any authenticated user such as a Subscriber to read other customers' booking details, including their name, email address, phone number and postal address, by referencing an identifier they do not own.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS