CVE-2026-89007
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Bookit — Booking & Appointment Calendar przed wersją 2.6.0.5 nie wykonuje kontroli uprawnień w jednej z funkcji usuwania wizyt. Umożliwia to użytkownikom z niskouprzywilejowaną rolą Staff usuwanie dowolnych wizyt.
Ocena ryzyka
Niskouprzywilejowani użytkownicy mogą usuwać wizyty, powodując utratę danych i zakłócenia w działalności firmy.
Rekomendacja
Zaktualizuj wtyczkę do wersji 2.6.0.5 lub nowszej. Sprawdź, czy nie doszło do nieautoryzowanego usunięcia wizyt.
Inne podatności w Bookit — Booking & Appointment Calendar
Zobacz wszystkie- CVE-2026-89008Niskie
Wtyczka WordPress Bookit — Booking & Appointment Calendar przed wersją 2.6.0.5 nie wykonuje kontroli autoryzacji w jednej z akcji pobierania wizyt. Umożliwia to użytkownikom z niskouprzywilejowaną rolą Bookit odczyt danych wizyt innych użytkowników, w tym imion, adresów e-mail, numerów telefonów i prywatnych komentarzy.
- CVE-2026-88995Średnie
Wtyczka WordPress Bookit — Booking & Appointment Calendar w wersji przed 2.6.0.1 nieprawidłowo ogranicza dane zwracane przez żądanie sprawdzania dostępności. Umożliwia to nieuwierzytelnionym użytkownikom pobranie szczegółów wizyt innych klientów, w tym komentarzy i danych kontaktowych.
Oryginalny opis (angielski, źródło NVD)
The Bookit — Booking & Appointment Calendar WordPress plugin before 2.6.0.5 does not perform a capability check in one of its appointment-deletion functions, allowing users with its low-privileged custom Staff role to delete arbitrary appointments.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS