CVE-2026-9851
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
Podatność we wtyczce Booking Package dla WordPressa do wersji 1.7.16 włącznie umożliwia eskalację uprawnień poprzez przejęcie konta. Brakuje sprawdzenia uprawnień w punkcie końcowym AJAX package_app_action, co pozwala uwierzytelnionym atakującym z dostępem na poziomie edytora lub wyższym na zmianę adresu e-mail i hasła dowolnego konta, w tym administratora.
Ocena ryzyka
Atakujący może przejąć pełną kontrolę nad witryną WordPress, zmieniając dane logowania konta administratora.
Rekomendacja
Zaktualizuj wtyczkę Booking Package do wersji 1.7.17 lub nowszej, która zawiera poprawkę.
Inne podatności w Booking Package
Zobacz wszystkie- CVE-2026-16986Średnie
Wtyczka Booking Package dla WordPressa przed wersją 1.7.25 nie weryfikuje po stronie serwera kwoty płatności względem zapisanej ceny usługi, wyprowadzając oczekiwaną opłatę z wartości dostarczonych przez atakującego, więc nieuwierzytelniony atakujący może zapłacić dowolną ułamek rzeczywistej ceny usługi.
- CVE-2026-15335Wysokie
Wtyczka Booking Package dla WordPressa do wersji 1.7.20 zawiera podatność na ogólne wstrzykiwanie SQL przez parametr 'email' w formularzu (form<N>). Brak odpowiedniego escapowania i przygotowania zapytania SQL pozwala nieuwierzytelnionym atakującym na dołączanie dodatkowych zapytań SQL, co może prowadzić do wycieku wrażliwych danych z bazy.
- CVE-2026-40774Wysokie
W pakiecie Booking w wersjach do 1.7.06 występuje problem z nieautoryzowanym dostępem, który pozwala na złamanie kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The Booking Package plugin for WordPress is vulnerable to Privilege Escalation via Account Takeover in versions up to, and including, 1.7.16. This is due to a missing capability check on the 'updateUser' branch of the package_app_action AJAX endpoint, where the handler only validates a nonce and the dispatcher invokes Schedule::updateUser() with the $administrator argument hard-coded to 1, bypassing the only owner-restriction check inside that function and allowing the target user to be determined solely by attacker-supplied input passed directly to wp_update_user(). This makes it possible for authenticated attackers, with Editor-level access and above, to change the email address and password of any account, including Administrator accounts, resulting in a full site takeover.