CVE-2026-92421
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka Hydra Booking — Appointment Scheduling & Booking Calendar dla WordPressa przed wersją 1.2.3 nie weryfikuje, czy rekord hosta modyfikowany przez użytkownika należy do niego. Pozwala to uwierzytelnionym użytkownikom z rolą hosta przypisaną przez wtyczkę na modyfikację danych profilu innych hostów oraz przypisanie sobie własności rekordu innego hosta.
Ocena ryzyka
Uwierzytelnieni użytkownicy mogą przejąć kontrolę nad profilami innych hostów, co prowadzi do naruszenia integralności danych i potencjalnie do nieautoryzowanych działań w systemie.
Rekomendacja
Zaktualizuj wtyczkę Hydra Booking do wersji 1.2.3 lub nowszej. Dodatkowo upewnij się, że operacje modyfikacji rekordów sprawdzają własność obiektu.
Inne podatności w Hydra Booking
Zobacz wszystkie- CVE-2026-92425Średnie
Wtyczka Hydra Booking — Appointment Scheduling & Booking Calendar dla WordPressa przed wersją 1.2.4 nie przeprowadza kontroli autoryzacji na poziomie obiektu w kilku operacjach zarządzania hostami. Pozwala to użytkownikom z niestandardową rolą przypisaną przez administratora na odczyt, modyfikację i trwałe usunięcie rekordów innych hostów oraz powiązanych kont użytkowników WordPressa.
- CVE-2026-92420Niskie
Wtyczka Hydra Booking — Appointment Scheduling & Booking Calendar dla WordPressa przed wersją 1.2.2 nie weryfikuje, czy rezerwacja należy do żądającego użytkownika przed jej modyfikacją lub usunięciem na dwóch endpointach rezerwacji. Pozwala to użytkownikowi na poziomie dostawcy na anulowanie i trwałe usunięcie rezerwacji innych dostawców na tej samej stronie.
- CVE-2026-15948Średnie
Wtyczka Hydra Booking dla WordPressa do wersji 1.2.2 włącznie jest podatna na przechowywany atak XSS przez parametr 'first_name'. Atakujący z dostępem na poziomie hosta może wstrzyknąć złośliwe skrypty, które wykonają się podczas przeglądania zainfekowanych stron.
- CVE-2026-28188Wysokie
Wtyczka Hydra Booking w wersjach do 1.2.2 zawiera podatność na nieuwierzytelniony złamany dostęp do kontroli (Broken Access Control). Osoba atakująca bez logowania może wykorzystać tę lukę do nieautoryzowanych operacji.
- CVE-2026-57388Wysokie
Wtyczka Hydra Booking dla WordPressa zawiera podatność na trwałe ataki XSS (Stored Cross-Site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Luka występuje we wszystkich wersjach do 1.1.44 włącznie.
- CVE-2026-42675Wysokie
Podatność brakującej autoryzacji w Themefic Hydra Booking do wersji 1.1.41. Umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-39541Średnie
Wtyczka Hydra Booking dla WordPressa zawiera podatność na Stored XSS. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce innych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The Hydra Booking — Appointment Scheduling & Booking Calendar WordPress plugin before 1.2.3 does not verify that the host record being modified belongs to the user making the request, allowing authenticated users holding a Hydra Booking — Appointment Scheduling & Booking Calendar WordPress plugin before 1.2.3-assigned host role to modify other hosts' profile data and reassign ownership of another host's record to themselves.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS