CVE-2026-91008
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka Event Booking Manager for WooCommerce w wersji przed 5.3.8 nie wykonuje kontroli własności ani autoryzacji przed wyświetleniem szczegółów potwierdzenia rezerwacji. Umożliwia to nieuwierzytelnionym atakującym pobranie danych osobowych zarejestrowanych uczestników (imię i nazwisko, adres e-mail, numer telefonu i niestandardowe pola rejestracji) poprzez podanie przewidywalnego numeru referencyjnego rezerwacji. Eksploatacja jest ograniczona do witryn skonfigurowanych do korzystania z natywnego (nie-WooCommerce) procesu płatności, który nie jest domyślny.
Ocena ryzyka
Atakujący może uzyskać dostęp do danych osobowych uczestników, co stanowi naruszenie prywatności i może prowadzić do kradzieży tożsamości lub phishingu. Ryzyko dotyczy witryn z włączonym natywnym procesem płatności.
Rekomendacja
Zaktualizuj wtyczkę Event Booking Manager for WooCommerce do wersji 5.3.8 lub nowszej. Jeśli to możliwe, przełącz się na domyślny proces płatności WooCommerce.
Inne podatności w Event Booking Manager for WooCommerce
Zobacz wszystkie- CVE-2026-91019Średnie
Wtyczka Event Booking Manager for WooCommerce w wersji przed 5.6.0 nie ogranicza dostępu do przechowywanej konfiguracji bramki płatniczej. Umożliwia to użytkownikom z uprawnieniami na poziomie Contributor i wyższym odczytanie danych uwierzytelniających PayPal i Stripe, w tym kluczy tajnych.
- CVE-2026-16067Średnie
Wtyczka Event Booking Manager for WooCommerce (Pro) dla WordPressa przed wersją 5.0.3 nie weryfikuje ceny biletu na serwerze podczas natywnego (nie-WooCommerce) checkoutu, ufając cenie dostarczonej przez klienta zamiast ponownie wyliczać skonfigurowaną cenę wydarzenia. Pozwala to nieuwierzytelnionym użytkownikom rezerwować płatne bilety za darmo, uzyskując ukończone rezerwacje i ważne bilety bez kosztów.
- CVE-2026-16064Średnie
Wtyczka Event Booking Manager for WooCommerce do WordPressa przed wersją 5.3.7 nie weryfikuje poprawnie autoryzacji na modyfikowanym obiekcie podczas szybkiej edycji wydarzeń, sprawdzając jedynie globalne uprawnienia. Użytkownicy z rolą Współautora i wyższą mogą modyfikować tytuł i status publikacji dowolnych postów i stron na stronie, w tym treści, których nie są właścicielami.
- CVE-2026-16063Średnie
Wtyczka Event Booking Manager for WooCommerce do WordPressa przed wersją 5.3.7 nie dezynfekuje ani nie escapuje treści osi czasu wydarzeń wprowadzanych przez użytkowników z dostępem do edycji postów przed ich zapisaniem i wyświetleniem na publicznej stronie wydarzenia. Użytkownicy z rolą Autora i wyższą mogą wstrzykiwać dowolny JavaScript, który wykonuje się w przeglądarce każdego odwiedzającego wydarzenie, w tym administratorów.
- CVE-2026-16062Średnie
Wtyczka Event Booking Manager for WooCommerce do WordPressa przed wersją 5.3.7 nie zapobiega deserializacji danych kontrolowanych przez użytkownika w niektórych polach treści wydarzeń. Użytkownicy z dostępem na poziomie Współautora i wyższym mogą wstrzykiwać obiekty PHP. W samej wtyczce nie ma łańcucha POP, ale jeśli jest on obecny w innej zainstalowanej wtyczce, może to prowadzić do działań takich jak usunięcie dowolnych plików, odczyt wrażliwych danych lub zdalne wykonanie kodu. Jest to niekompletna poprawka wcześniejszych porad dotyczących wstrzykiwania obiektów.
- CVE-2026-17166Średnie
Wtyczka Event Booking Manager dla WooCommerce do wersji 5.3.7 umożliwia ominięcie autoryzacji. Brak odpowiedniego sprawdzenia uprawnień pozwala uwierzytelnionym atakującym z dostępem contributora na modyfikację globalnych ustawień płatności, w tym włączania płatności WooCommerce, zachowania koszyka i wymogów logowania.
Oryginalny opis (angielski, źródło NVD)
The Event Booking Manager for WooCommerce WordPress plugin before 5.3.8 does not perform an ownership or authorization check before rendering booking confirmation details, allowing unauthenticated attackers to retrieve registered attendees' personal information (full name, email address, phone number, and custom registration fields) by supplying an enumerable booking reference. Exploitation is limited to sites configured to use the Event Booking Manager for WooCommerce WordPress plugin before 5.3.8's native (non-WooCommerce) checkout, which is not the default.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS