CVE-2026-87115

KrytyczneCVSS 9.1

Opublikowano: 03/10/2026(UTC)Przetłumaczono: 03/10/2026(UTC)NVD NIST

Streszczenie

Wtyczka VikAppointments Services Booking Calendar dla WordPressa do wersji 1.2.21 włącznie jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżki w funkcji extract. Umożliwia to nieuwierzytelnionym atakującym usuwanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu (np. po usunięciu pliku wp-config.php). Wykorzystanie wymaga opublikowania przynajmniej jednego pola niestandardowego typu File na stronie potwierdzenia.

Ocena ryzyka

Atakujący może usunąć krytyczne pliki serwera, co może prowadzić do całkowitego przejęcia kontroli nad witryną lub przerwy w działaniu usług.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki VikAppointments do najnowszej wersji. Należy również sprawdzić, czy na stronach potwierdzenia nie są opublikowane pola typu File, i usunąć je, jeśli nie są niezbędne.

Inne podatności w VikAppointments Services Booking Calendar

CVE-2026-84768Krytyczne
Podatność SQL Injection w wtyczce VikAppointments Services Booking Calendar w wersjach do 1.2.20, która może być wykorzystana bez uwierzytelnienia. Atakujący może wstrzyknąć zapytania SQL, co może prowadzić do nieautoryzowanego dostępu do bazy danych.

Oryginalny opis (angielski, źródło NVD)

The VikAppointments Services Booking Calendar plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the extract function in all versions up to, and including, 1.2.21. This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file is deleted (such as wp-config.php). Exploitation requires at least one File-type custom field to be published on the confirmation page shortcode, as this field is not created by default during plugin installation.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS