CVE-2026-87896

ŚrednieCVSS 5.3

Opublikowano: 16/09/2026(UTC)Zaktualizowano: 17/09/2026(UTC)Przetłumaczono: 16/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Rox Appointment Booking w wersji przed 1.2.8 nie wykonuje żadnego sprawdzenia autoryzacji na endpoincie zwracającym rekordy agentów rezerwacji (personelu). Umożliwia to nieuwierzytelnionym atakującym odczyt adresów e-mail, numerów telefonów, prywatnych notatek wewnętrznych oraz powiązanej nazwy konta WordPress dla każdego agenta.

Ocena ryzyka

Nieuwierzytelniony atakujący może uzyskać dane kontaktowe i prywatne notatki personelu, co może prowadzić do phishingu, spamu i naruszenia prywatności pracowników.

Rekomendacja

Zaktualizuj wtyczkę Rox Appointment Booking do wersji 1.2.8 lub nowszej.

Inne podatności w Rox Appointment Booking WordPress plugin

CVE-2026-87907Średnie
Wtyczka WordPress Rox Appointment Booking w wersji przed 1.2.8 nie wykonuje żadnego sprawdzenia autoryzacji na endpointach zwracających rekordy usług i kategorii rezerwacji. Umożliwia to nieuwierzytelnionym atakującym odczyt prywatnych notatek wewnętrznych przechowywanych przy każdej usłudze i kategorii.

Oryginalny opis (angielski, źródło NVD)

The Rox Appointment Booking WordPress plugin before 1.2.8 does not perform any authorization check on the endpoint that returns booking agent (staff) records, allowing unauthenticated attackers to read staff email addresses, phone numbers, private internal notes and the linked WordPress account name for every agent.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS