CVE-2026-103915
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka Amelia (Booking for Appointments and Events Calendar) dla WordPressa w wersjach do 2.4.12 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 'page'. Nieuwierzytelniony atakujący może wydobyć dane osobowe personelu (imię i nazwisko, adres e-mail, numer telefonu, płeć, strefę czasową) oraz wewnętrzne notatki administratora dla każdego opublikowanego wydarzenia, ponieważ surowa tablica providers nie jest usuwana przed wyjściem w odpowiedzi JSON.
Ocena ryzyka
Wyciek danych osobowych personelu i wewnętrznych notatek może naruszyć prywatność, powodować ryzyko zgodności z RODO oraz ułatwić ataki socjotechniczne. Podatność jest dostępna bez uwierzytelnienia.
Rekomendacja
Zaktualizuj wtyczkę Amelia do wersji nowszej niż 2.4.12. Do czasu aktualizacji rozważ ograniczenie dostępu do funkcji rezerwacji lub wyłączenie wtyczki.
Inne podatności w Amelia
Zobacz wszystkie- CVE-2026-112327Krytyczne
Wtyczka Amelia do WordPressa (wersje do 2.4.11) jest podatna na wstrzyknięcie SQL z powodu niewłaściwej neutralizacji znaków specjalnych w zapytaniach SQL. Podatność może pozwolić na manipulację zapytaniami do bazy danych.
- CVE-2026-57702Krytyczne
Wtyczka Amelia do WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) spowodowane niewłaściwą neutralizacją specjalnych elementów w zapytaniach SQL. Problem dotyczy wersji do 2.4.2 włącznie.
- CVE-2026-116396Średnie
Wtyczka Amelia do WordPressa (do wersji 2.4.12) nie neutralizuje prawidłowo danych wejściowych podczas generowania stron, co umożliwia atak typu Stored Cross-site Scripting (XSS). Złośliwy skrypt może zostać trwale zapisany i wykonany w przeglądarce użytkownika.
- CVE-2026-116388Średnie
Wtyczka Amelia do WordPressa (do wersji 2.4.10) ma brakującą autoryzację, co umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Atakujący może wykonać operacje, do których nie powinien mieć uprawnień.
- CVE-2026-109684Średnie
Brak autoryzacji w wtyczce Amelia (ameliabooking) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji od n/a do 2.4.10.
- CVE-2026-96461Wysokie
Podatność Missing Authorization w wtyczce Amelia (ameliabooking) dla WordPressa, występująca w wersjach do 2.4.10 włącznie, pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
- CVE-2026-62112Wysokie
Wtyczka Amelia w wersjach do 2.4.9 włącznie zawiera podatność SQL Injection dostępną dla edytorów. Umożliwia to użytkownikom z uprawnieniami edytora wstrzykiwanie złośliwych zapytań SQL do bazy danych.
- CVE-2026-6286Wysokie
Wtyczka Amelia dla WordPressa do wersji 2.2 włącznie jest podatna na Stored Cross-Site Scripting przez pola nazw klienta. Obejście uwierzytelniania (brak weryfikacji nonce) pozwala niezautoryzowanym użytkownikom na przesyłanie danych rezerwacji, a w widoku kalendarza administratora nazwy klientów są interpolowane do literałów szablonów JavaScript i renderowane przez innerHTML bez odpowiedniego kodowania encji HTML. Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się po najechaniu kursorem na rezerwację.
- CVE-2026-14782Średnie
Wtyczka Amelia dla WordPressa jest podatna na atak SQL Injection podczas importu klientów. Luka występuje we wszystkich wersjach do 2.4.3 włącznie, z powodu niedostatecznego escapowania parametru i braku przygotowania zapytania SQL.
- CVE-2026-48889Wysokie
Wersje Amelia do 2.3 zawierają podatność umożliwiającą eskalację uprawnień subskrybenta.
Oryginalny opis (angielski, źródło NVD)
The Booking for Appointments and Events Calendar – Amelia plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 2.4.12 via the 'page' parameter. This makes it possible for unauthenticated attackers to extract staff personally identifiable information — including full name, email address, phone number, gender, and timezone — as well as administrator-authored internal notes for every published event, all serialized into the JSON response because the raw providers array is never stripped before output.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS