CVE-2026-87894
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka Rox Appointment Booking dla WordPressa w wersji przed 1.2.3 nie wykonuje żadnego sprawdzenia autoryzacji w punkcie końcowym zwracającym szczegóły potwierdzenia rezerwacji, a każda rezerwacja jest identyfikowana kolejnym numerem. Umożliwia to nieuwierzytelnionym atakującym odczytanie imienia, adresu e-mail, numeru telefonu, szczegółów rezerwacji i statusu płatności dowolnego klienta poprzez enumerację identyfikatora.
Ocena ryzyka
Nieuwierzytelniony atakujący może uzyskać dane osobowe i szczegóły rezerwacji wszystkich klientów, co stanowi poważne naruszenie prywatności i może skutkować konsekwencjami prawnymi (RODO). Ryzyko dla reputacji i zgodności jest wysokie.
Rekomendacja
Zaktualizuj wtyczkę do wersji 1.2.3 lub nowszej, aby naprawić brak sprawdzenia autoryzacji.
Inne podatności w Rox Appointment Booking
Zobacz wszystkie- CVE-2026-104012Wysokie
Wtyczka Rox Appointment Booking dla WordPressa (do wersji 1.3.1) jest podatna na eskalację uprawnień poprzez mass assignment. Publiczny endpoint REST pozwala nieuwierzytelnionemu atakującemu na zapisanie dowolnego identyfikatora użytkownika WordPressa (wp_user_id) wraz z kontrolowanym adresem e-mail. Gdy administrator otworzy i zapisze rekord klienta, adres e-mail administratora zostaje nadpisany, co umożliwia przejęcie konta.
- CVE-2026-87892Średnie
Wtyczka Rox Appointment Booking dla WordPressa w wersji przed 1.2.0 nie weryfikuje sumy zamówienia ani wybranej metody płatności względem własnej wyceny po stronie serwera podczas tworzenia rezerwacji. Umożliwia to nieuwierzytelnionym atakującym tworzenie potwierdzonych rezerwacji po dowolnej cenie i obejście skonfigurowanych ograniczeń metod płatności.
- CVE-2026-87891Średnie
Wtyczka Rox Appointment Booking dla WordPressa w wersji przed 1.2.0 nie wykonuje żadnego sprawdzenia uprawnień ani autoryzacji podczas zapisywania harmonogramu świąt. Umożliwia to nieuwierzytelnionym atakującym nadpisanie dat, które system rezerwacji uznaje za niedostępne, co może zablokować legalne rezerwacje lub otworzyć daty, które właściciel witryny zamierzał pozostawić zamknięte.
Oryginalny opis (angielski, źródło NVD)
The Rox Appointment Booking WordPress plugin before 1.2.3 does not perform any authorization check on the endpoint that returns a booking's confirmation details, and each booking is addressed by a sequential numeric identifier, allowing unauthenticated attackers to read any customer's name, email, phone, booking details and payment status by enumerating that identifier.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS