CVE-2026-91025
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress Booking Manager w wersji przed 2.1.21 nie weryfikuje, czy żądanie modyfikacji ustawień specyficznych dla użytkownika dotyczy konta osoby wysyłającej żądanie. Uwierzytelnieni użytkownicy z poziomem subskrybenta i wyższym mogą tworzyć lub nadpisywać ustawienia wtyczki na kontach dowolnych użytkowników, w tym administratorów.
Ocena ryzyka
Atakujący może modyfikować konfigurację innych kont, w tym administratorów, co może prowadzić do eskalacji uprawnień lub zakłócenia działania systemu rezerwacji. Problem dotyczy nawet użytkowników o najniższych uprawnieniach.
Rekomendacja
Zaktualizuj wtyczkę Booking Manager do wersji 2.1.21 lub nowszej. Zweryfikuj, czy ustawienia użytkowników nie zostały nieautoryzowanie zmienione.
Inne podatności w Booking Manager
Zobacz wszystkie- CVE-2026-91024Średnie
Wtyczka WordPress Booking Manager w wersji przed 2.1.21 nie sanityzuje ani nie escapuje wartości pobieranych z zewnętrznego kanału iCalendar przed użyciem ich w zapytaniu SQL. Uwierzytelnieni użytkownicy z poziomem autora i wyższym mogą przeprowadzać ataki SQL injection, importując kontrolowany przez siebie kanał.
- CVE-2025-64275Średnie
Wtyczka Booking Manager (autorstwa wpdevelop) jest podatna na atak typu Stored Cross-site Scripting (XSS) z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Podatność dotyczy wersji od nieznanej do 2.1.17 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Booking Manager WordPress plugin before 2.1.21 does not verify that a request to modify a user's Booking Manager WordPress plugin before 2.1.21-specific settings targets the requesting user's own account, allowing any authenticated user with subscriber-level access and above to create or overwrite the Booking Manager WordPress plugin before 2.1.21's per-user settings on arbitrary users, including administrators.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS