CVE-2026-93655
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka Booking Calendar dla WordPressa jest podatna na Reflected Cross-Site Scripting poprzez parametr 'wpbc_auto_fill' we wszystkich wersjach do 11.8.3 włącznie z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, jeśli uda się nakłonić użytkownika do wykonania akcji, takiej jak kliknięcie linku.
Ocena ryzyka
Atakujący może wykonać złośliwe skrypty w przeglądarce użytkownika, potencjalnie kradnąc dane sesji lub wykonując działania w imieniu użytkownika.
Rekomendacja
Zaktualizuj wtyczkę Booking Calendar do wersji nowszej niż 11.8.3, aby naprawić podatność XSS.
Inne podatności w Booking Calendar
Zobacz wszystkie- CVE-2026-92619Wysokie
Wtyczka Booking Calendar dla WordPressa jest podatna na eskalację uprawnień we wszystkich wersjach do 11.8.2 włącznie poprzez akcję AJAX wpbc_ajax_option_save. Uwierzytelniony atakujący z poziomem Editor może zapisywać opcje WordPressa, takie jak default_role=administrator, i utworzyć konto administratora.
- CVE-2026-92561Średnie
Wtyczka Booking Calendar dla WordPressa jest podatna na odbity XSS przez parametr 'options' we wszystkich wersjach do 11.8.2 włącznie z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Nieuwierzytelnieni atakujący mogą wstrzykiwać dowolne skrypty, które wykonają się, jeśli uda im się nakłonić użytkownika do kliknięcia w link. Sprawdzenie nonce jest domyślnie pomijane, ponieważ opcja 'booking_is_nonce_at_front_end' jest domyślnie wyłączona.
- CVE-2026-74002Średnie
Podatność nieuwierzytelnionego złamania kontroli dostępu (Broken Access Control) w wtyczce Booking Calendar w wersjach do 11.7 włącznie. Niezalogowani użytkownicy mogą uzyskać dostęp do funkcji rezerwacji i zarządzania, które powinny być ograniczone.
- CVE-2026-59558Wysokie
Podatność na nieuwierzytelniony Cross-Site Scripting (XSS) we wtyczce Booking Calendar do wersji 11.4.2. Umożliwia atakującemu wstrzyknięcie złośliwego skryptu do strony.
Oryginalny opis (angielski, źródło NVD)
The Booking Calendar plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the 'wpbc_auto_fill' parameter in all versions up to, and including, 11.8.3 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS