CVE-2026-84768

KrytyczneCVSS 9.3

Opublikowano: 03/09/2026(UTC)Zaktualizowano: 03/09/2026(UTC)Przetłumaczono: 03/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 15 - wyżej niż 15% wszystkich znanych CVE

Streszczenie

Podatność SQL Injection w wtyczce VikAppointments Services Booking Calendar w wersjach do 1.2.20, która może być wykorzystana bez uwierzytelnienia. Atakujący może wstrzyknąć zapytania SQL, co może prowadzić do nieautoryzowanego dostępu do bazy danych.

Ocena ryzyka

Nieuwierzytelniony atakujący może uzyskać dostęp do danych rezerwacji i innych danych w bazie, co może prowadzić do wycieku danych i naruszenia prywatności.

Rekomendacja

Zaleca się aktualizację wtyczki VikAppointments Services Booking Calendar do najnowszej wersji, która zawiera poprawkę.

Inne podatności w VikAppointments Services Booking Calendar

CVE-2026-87115Krytyczne
Wtyczka VikAppointments Services Booking Calendar dla WordPressa do wersji 1.2.21 włącznie jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżki w funkcji extract. Umożliwia to nieuwierzytelnionym atakującym usuwanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu (np. po usunięciu pliku wp-config.php). Wykorzystanie wymaga opublikowania przynajmniej jednego pola niestandardowego typu File na stronie potwierdzenia.

Oryginalny opis (angielski, źródło NVD)

Unauthenticated SQL Injection in VikAppointments Services Booking Calendar <= 1.2.20 versions.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS