CVE-2026-86837
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka Bookly dla WordPressa w wersjach przed 28.3 nie weryfikuje prawidłowo tożsamości klienta przed aktualizacją jego zapisanych danych. Umożliwia to nieuwierzytelnionym atakującym, którzy znają główny identyfikator klienta, nadpisanie jego danych osobowych, takich jak imię i nazwisko, e-mail oraz adres.
Ocena ryzyka
Atakujący może zmienić dane osobowe klientów, co prowadzi do naruszenia poufności i integralności danych oraz może być wykorzystane do oszustw lub phishingu. Organizacja może ponieść odpowiedzialność za naruszenie ochrony danych osobowych.
Rekomendacja
Zaktualizuj wtyczkę Bookly do wersji 28.3 lub nowszej. Sprawdź, czy aktualizacja danych klienta wymaga odpowiedniej weryfikacji tożsamości.
Inne podatności w Bookly WordPress plugin
Zobacz wszystkie- CVE-2026-86838Średnie
Wtyczka Bookly dla WordPress przed wersją 28.3 nie waliduje po stronie serwera wartości ilości rezerwacji podanych przez klienta przed obliczeniem sumy wizyty. Umożliwia to nieuwierzytelnionym użytkownikom obniżenie sumy do zera i rezerwację płatnych usług za darmo z pominięciem etapu płatności.
- CVE-2026-92799Średnie
Wtyczka Bookly dla WordPressa (wersje do 28.2 włącznie) jest podatna na obejście autoryzacji poprzez manipulację typami PHP. Z powodu użycia luźnego operatora nierówności w funkcji weryfikującej kod jednorazowy oraz braku ochrony CSRF i uwierzytelnienia w kontrolerze AJAX, nieuwierzytelniony atakujący może obejść weryfikację własności telefonu/e-mail i nadpisać dane dowolnego klienta Bookly.
Oryginalny opis (angielski, źródło NVD)
The Bookly WordPress plugin before 28.3 does not properly verify a customer's identity before updating their stored details, allowing unauthenticated attackers who know a customer's primary identifier to overwrite that customer's stored personal information such as name, email and address.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS