CVE-2026-91024
ŚrednieCVSS 6.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Booking Manager w wersji przed 2.1.21 nie sanityzuje ani nie escapuje wartości pobieranych z zewnętrznego kanału iCalendar przed użyciem ich w zapytaniu SQL. Uwierzytelnieni użytkownicy z poziomem autora i wyższym mogą przeprowadzać ataki SQL injection, importując kontrolowany przez siebie kanał.
Ocena ryzyka
Atakujący może wykonywać dowolne zapytania SQL, co może prowadzić do wycieku, modyfikacji lub usunięcia danych z bazy WordPress. Ryzyko obejmuje pełne przejęcie kontroli nad danymi aplikacji.
Rekomendacja
Zaktualizuj wtyczkę Booking Manager do wersji 2.1.21 lub nowszej. Ogranicz możliwość importu zewnętrznych kanałów iCalendar do zaufanych źródeł.
Inne podatności w Booking Manager
Zobacz wszystkie- CVE-2026-91025Średnie
Wtyczka WordPress Booking Manager w wersji przed 2.1.21 nie weryfikuje, czy żądanie modyfikacji ustawień specyficznych dla użytkownika dotyczy konta osoby wysyłającej żądanie. Uwierzytelnieni użytkownicy z poziomem subskrybenta i wyższym mogą tworzyć lub nadpisywać ustawienia wtyczki na kontach dowolnych użytkowników, w tym administratorów.
- CVE-2025-64275Średnie
Wtyczka Booking Manager (autorstwa wpdevelop) jest podatna na atak typu Stored Cross-site Scripting (XSS) z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Podatność dotyczy wersji od nieznanej do 2.1.17 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Booking Manager WordPress plugin before 2.1.21 does not sanitize and escape values taken from a fetched external iCalendar feed before using them in a SQL query, allowing authenticated users with Author-level access and above to perform SQL injection attacks by importing a feed they control.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS