CVE-2026-86839
Niskie ryzyko· EPSS 2%Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Wtyczka Online Scheduling and Appointment Booking System przed wersją 28.3 nie weryfikuje, czy rekordy wizyt i płatności żądane przez akcje AJAX dla roli personelu należą do żądającego członka personelu. Umożliwia to uwierzytelnionym atakującym z kontem na poziomie personelu przeglądanie, modyfikowanie i usuwanie wizyt i płatności innych członków personelu, w tym powiązanych danych osobowych klientów.
Ocena ryzyka
Nieuprawniony dostęp do danych osobowych klientów oraz możliwość modyfikacji lub usunięcia rekordów wizyt i płatności. Może to naruszyć prywatność i integralność danych.
Rekomendacja
Zaktualizuj wtyczkę Online Scheduling and Appointment Booking System do wersji 28.3 lub nowszej. Rozważ ograniczenie liczby kont z uprawnieniami personelu.
Inne podatności w Online Scheduling and Appointment Booking System
Zobacz wszystkie- CVE-2026-86841Niskie ryzyko· EPSS 4%
Wtyczka Online Scheduling and Appointment Booking System przed wersją 28.3 nie zapobiega deserializacji niezaufanych danych wejściowych oraz nie ogranicza prawidłowo uprzywilejowanej funkcji konserwacyjnej do administratorów. Umożliwia to użytkownikom posiadającym niestandardową uprawnienie do zarządzania rezerwacjami (które administrator musi jawnie przypisać) wstrzykiwanie dowolnych obiektów PHP, nadpisywanie uprzywilejowanych opcji witryny oraz odczyt przechowywanych sekretów integracji.
- CVE-2026-91847Średnie
Wtyczka Online Scheduling and Appointment Booking System dla WordPressa przed wersją 28.2 nie weryfikuje, czy żądający jest właścicielem rozmowy z asystentem AI wymienionej w nieuwierzytelnionych akcjach rozmowy. Pozwala to każdemu nieuwierzytelnionemu odwiedzającemu na odczyt wiadomości asystenta innego odwiedzającego oraz wstrzykiwanie wiadomości do trwającej rozmowy.
- CVE-2026-13395Wysokie
Wtyczka Online Scheduling and Appointment Booking System dla WordPressa przed wersją 27.8 nie sanityzuje ani nie odpowiednio rzutuje parametru dostarczonego przez użytkownika z nieuwierzytelnionych żądań rezerwacji przed użyciem go w zapytaniu SQL. Pozwala to nieuwierzytelnionym atakującym na przeprowadzenie ataków SQL injection i wyodrębnienie wrażliwych danych, takich jak hashe haseł z bazy danych.
Oryginalny opis (angielski, źródło NVD)
The Online Scheduling and Appointment Booking System WordPress plugin before 28.3 does not verify that appointment and payment records requested through its staff-role AJAX actions belong to the requesting staff member, allowing authenticated attackers with a staff-level account to view, modify and delete other staff members' appointments and payments, including the associated customer's personal information.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS