CVE-2026-87907

ŚrednieCVSS 5.3

Opublikowano: 16/09/2026(UTC)Zaktualizowano: 17/09/2026(UTC)Przetłumaczono: 16/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Rox Appointment Booking w wersji przed 1.2.8 nie wykonuje żadnego sprawdzenia autoryzacji na endpointach zwracających rekordy usług i kategorii rezerwacji. Umożliwia to nieuwierzytelnionym atakującym odczyt prywatnych notatek wewnętrznych przechowywanych przy każdej usłudze i kategorii.

Ocena ryzyka

Nieuwierzytelniony atakujący może uzyskać dostęp do poufnych notatek wewnętrznych, co może ujawnić informacje biznesowe i naruszyć prywatność.

Rekomendacja

Zaktualizuj wtyczkę Rox Appointment Booking do wersji 1.2.8 lub nowszej.

Inne podatności w Rox Appointment Booking WordPress plugin

CVE-2026-87896Średnie
Wtyczka WordPress Rox Appointment Booking w wersji przed 1.2.8 nie wykonuje żadnego sprawdzenia autoryzacji na endpoincie zwracającym rekordy agentów rezerwacji (personelu). Umożliwia to nieuwierzytelnionym atakującym odczyt adresów e-mail, numerów telefonów, prywatnych notatek wewnętrznych oraz powiązanej nazwy konta WordPress dla każdego agenta.

Oryginalny opis (angielski, źródło NVD)

The Rox Appointment Booking WordPress plugin before 1.2.8 does not perform any authorization check on the endpoints that return booking service and category records, allowing unauthenticated attackers to read the private internal notes stored on each service and category.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS