CVE-2026-88995
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Bookit — Booking & Appointment Calendar w wersji przed 2.6.0.1 nieprawidłowo ogranicza dane zwracane przez żądanie sprawdzania dostępności. Umożliwia to nieuwierzytelnionym użytkownikom pobranie szczegółów wizyt innych klientów, w tym komentarzy i danych kontaktowych.
Ocena ryzyka
Nieautoryzowany dostęp do danych osobowych klientów może prowadzić do naruszenia prywatności i zgodności z RODO. Może to skutkować utratą zaufania i karami regulacyjnymi.
Rekomendacja
Zaktualizuj wtyczkę Bookit do wersji 2.6.0.1 lub nowszej. Sprawdź, czy dane klientów nie zostały wyciekły i rozważ powiadomienie osób poszkodowanych.
Inne podatności w Bookit — Booking & Appointment Calendar
Zobacz wszystkie- CVE-2026-89008Nieznane
Wtyczka WordPress Bookit — Booking & Appointment Calendar przed wersją 2.6.0.5 nie wykonuje kontroli autoryzacji w jednej z akcji pobierania wizyt. Umożliwia to użytkownikom z niskouprzywilejowaną rolą Bookit odczyt danych wizyt innych użytkowników, w tym imion, adresów e-mail, numerów telefonów i prywatnych komentarzy.
- CVE-2026-89007Nieznane
Wtyczka WordPress Bookit — Booking & Appointment Calendar przed wersją 2.6.0.5 nie wykonuje kontroli uprawnień w jednej z funkcji usuwania wizyt. Umożliwia to użytkownikom z niskouprzywilejowaną rolą Staff usuwanie dowolnych wizyt.
Oryginalny opis (angielski, źródło NVD)
The Bookit — Booking & Appointment Calendar WordPress plugin before 2.6.0.1 does not properly restrict the data returned by an availability-check request, allowing unauthenticated users to retrieve other customers' appointment details, including free-text booking comments and contact information.