CVE-2026-96662
WysokieCVSS 7.5Streszczenie
Wtyczka Appointment Booking Plugin – LatePoint | Calendar & Scheduling dla WordPressa jest podatna na ogólny SQL Injection przez parametr 'booking[service_id]' w wersjach do 5.7.2 włącznie z powodu niewystarczającego eskejpowania danych i braku przygotowania zapytań SQL. Niezalogowani atakujący mogą dołączać dodatkowe zapytania SQL, co pozwala na wyodrębnienie wrażliwych informacji z bazy danych.
Ocena ryzyka
Atakujący może uzyskać dostęp do danych użytkowników, haseł, danych płatniczych i innych wrażliwych informacji przechowywanych w bazie danych, co może prowadzić do poważnych naruszeń bezpieczeństwa.
Rekomendacja
Zaktualizuj wtyczkę do najnowszej wersji z poprawką. Dodatkowo stosuj zapytania przygotowane (prepared statements) i walidację danych wejściowych.
Inne podatności w Appointment Booking Plugin – LatePoint
Zobacz wszystkie- CVE-2026-91050Średnie
Wtyczka Appointment Booking Plugin – LatePoint dla WordPressa jest podatna na niebezpieczne bezpośrednie odwołania do obiektów / brak autoryzacji w wersjach do 5.7.2 włącznie. Nieuwierzytelnieni atakujący mogą tworzyć zatwierdzone wizyty dotyczące pozycji zamówień innych klientów oraz odczytywać ich dane osobowe.
- CVE-2026-92966Krytyczne
Wtyczka Appointment Booking Plugin – LatePoint dla WordPressa do wersji 5.7.0 włącznie jest podatna na wykonanie dowolnych shortcode'ów. Atakujący bez uwierzytelnienia może umieścić złośliwy shortcode podczas procesu rezerwacji, który zostanie wykonany po wyrenderowaniu przez komponent Customer Cabinet.
Oryginalny opis (angielski, źródło NVD)
The Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress plugin for WordPress is vulnerable to generic SQL Injection via 'booking[service_id]' Parameter in all versions up to, and including, 5.7.2 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS