CVE-2026-107126
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress WP Booking System przed wersją 2.1.0.1 nie sanityzuje ani nie escapuje wartości żądania kontrolowanej przez klienta przed zapisaniem jej i późniejszym wyświetleniem w ekranie administracyjnym. Umożliwia to nieuwierzytelnionym atakującym przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w sesji administratora przeglądającego zapisane dane.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w sesji administratora, co może prowadzić do przejęcia konta, kradzieży danych lub modyfikacji witryny. Ryzyko jest wysokie ze względu na możliwość eskalacji uprawnień.
Rekomendacja
Zaktualizuj wtyczkę WP Booking System do wersji 2.1.0.1 lub nowszej. Sprawdź, czy w bazie danych nie ma złośliwych skryptów.
Inne podatności w WP Booking System WordPress plugin
Zobacz wszystkie- CVE-2026-116557Krytyczne
Wtyczka WP Booking System – Booking Calendar dla WordPressa w wersjach do 2.1.0.5 włącznie nie sprawdza uprawnień w funkcji wpbs_action_ajax_calendar_remove_note(). Uwierzytelniony użytkownik z rolą Subscriber lub wyższą może usuwać dowolne notatki kalendarza należące do dowolnego kalendarza.
- CVE-2026-109369Średnie
Wtyczka WordPress 'WP Booking System – Booking Calendar' we wszystkich wersjach do 2.1.0.3 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowego weryfikowania, czy użytkownik jest upoważniony do wykonania akcji. Uwierzytelnieni atakujący z uprawnieniami subskrybenta lub wyższymi mogą przyznać sobie i innym użytkownikom dostęp do edycji wszystkich formularzy rezerwacji w witrynie, nadpisując meta user_permission, które zarządza listą kontroli dostępu wtyczki. Wykorzystanie wymaga, aby atakujący miał już delegowane prawa edycji do co najmniej jednego formularza rezerwacji, ponieważ ta delegacja zarówno obniża uprawnienia podmenu do 'read' (czyniąc stronę edycji dostępną), jak i pozwala im uzyskać ważny nonce wpbs_edit_form, który przejdzie walidację dla dowolnego innego form_id.
Oryginalny opis (angielski, źródło NVD)
The WP Booking System WordPress plugin before 2.1.0.1 does not sanitise and escape a client-controllable request value before storing it and later outputting it in an administration screen, allowing unauthenticated attackers to perform Stored Cross-Site Scripting attacks that execute in the session of an administrator who views the stored data.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS