CVE-2026-9830
WysokieCVSS 8.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka bookingpress-appointment-booking-pro dla WordPressa przed wersją 5.7.3 nieprawidłowo implementuje funkcję sprawdzania uprawnień REST. Umożliwia to nieuwierzytelnionym atakującym dostęp do tras API, odczyt danych rezerwacji klientów oraz modyfikację rezerwacji innych użytkowników.
Ocena ryzyka
Atakujący może uzyskać dostęp do wrażliwych danych klientów i manipulować rezerwacjami, co prowadzi do naruszenia prywatności i integralności danych.
Rekomendacja
Zaktualizuj wtyczkę bookingpress-appointment-booking-pro do wersji 5.7.3 lub nowszej, która zawiera poprawkę sprawdzania uprawnień REST.
Inne podatności w bookingpress-appointment-booking-pro
Zobacz wszystkie- CVE-2026-68566Krytyczne
Podatność typu SQL Injection w wtyczce BookingPress Appointment Booking Pro, możliwa do wykorzystania bez uwierzytelnienia. Dotyczy wersji do 6.0.2 włącznie.
- CVE-2026-11823Wysokie
Wtyczka BookingPress Appointment Booking Pro dla WordPressa do wersji 5.7.1 włącznie zawiera podatność na iniekcję SQL w parametrze 'store_service_date' funkcji bpa_assign_staffmember_to_slots(). Problem wynika z użycia stripslashes_deep() na danych POST bez przygotowania zapytania przez $wpdb->prepare(), co pozwala nieuwierzytelnionym atakującym na dołączanie dodatkowych zapytań SQL.
Oryginalny opis (angielski, źródło NVD)
The bookingpress-appointment-booking-pro WordPress plugin before 5.7.3 does not correctly invoke its REST permission callback, leaving every route in one of its API namespaces reachable without authentication and allowing unauthenticated attackers to read customer booking data and modify other users' bookings.