CVE-2026-87891
NieznaneStreszczenie
Wtyczka Rox Appointment Booking dla WordPressa w wersji przed 1.2.0 nie wykonuje żadnego sprawdzenia uprawnień ani autoryzacji podczas zapisywania harmonogramu świąt. Umożliwia to nieuwierzytelnionym atakującym nadpisanie dat, które system rezerwacji uznaje za niedostępne, co może zablokować legalne rezerwacje lub otworzyć daty, które właściciel witryny zamierzał pozostawić zamknięte.
Ocena ryzyka
Nieuwierzytelniony atakujący może zakłócić dostępność rezerwacji lub otworzyć niedozwolone terminy, powodując straty finansowe i niezadowolenie klientów. Ryzyko dla integralności danych i dostępności usługi jest wysokie.
Rekomendacja
Zaktualizuj wtyczkę do wersji 1.2.0 lub nowszej, aby naprawić brak sprawdzenia uprawnień.
Inne podatności w Rox Appointment Booking
Zobacz wszystkie- CVE-2026-87894Nieznane
Wtyczka Rox Appointment Booking dla WordPressa w wersji przed 1.2.3 nie wykonuje żadnego sprawdzenia autoryzacji w punkcie końcowym zwracającym szczegóły potwierdzenia rezerwacji, a każda rezerwacja jest identyfikowana kolejnym numerem. Umożliwia to nieuwierzytelnionym atakującym odczytanie imienia, adresu e-mail, numeru telefonu, szczegółów rezerwacji i statusu płatności dowolnego klienta poprzez enumerację identyfikatora.
- CVE-2026-87892Nieznane
Wtyczka Rox Appointment Booking dla WordPressa w wersji przed 1.2.0 nie weryfikuje sumy zamówienia ani wybranej metody płatności względem własnej wyceny po stronie serwera podczas tworzenia rezerwacji. Umożliwia to nieuwierzytelnionym atakującym tworzenie potwierdzonych rezerwacji po dowolnej cenie i obejście skonfigurowanych ograniczeń metod płatności.
Oryginalny opis (angielski, źródło NVD)
The Rox Appointment Booking WordPress plugin before 1.2.0 does not perform any capability or authorization check when saving its holiday schedule, allowing unauthenticated attackers to overwrite the dates the booking system treats as unavailable, which can block legitimate bookings or open dates the site owner intended to keep closed.