CVE-2026-112327

Wtyczka Amelia do WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) spowodowane niewłaściwą neutralizacją specjalnych elementów w zapytaniach SQL. Problem dotyczy wersji do 2.4.2 włącznie.

Wtyczka Amelia (Booking for Appointments and Events Calendar) dla WordPressa w wersjach do 2.4.12 włącznie jest podatna na ujawnienie poufnych informacji poprzez parametr 'page'. Nieuwierzytelniony atakujący może wydobyć dane osobowe personelu (imię i nazwisko, adres e-mail, numer telefonu, płeć, strefę czasową) oraz wewnętrzne notatki administratora dla każdego opublikowanego wydarzenia, ponieważ surowa tablica providers nie jest usuwana przed wyjściem w odpowiedzi JSON.

Wtyczka Amelia do WordPressa (do wersji 2.4.12) nie neutralizuje prawidłowo danych wejściowych podczas generowania stron, co umożliwia atak typu Stored Cross-site Scripting (XSS). Złośliwy skrypt może zostać trwale zapisany i wykonany w przeglądarce użytkownika.

Wtyczka Amelia do WordPressa (do wersji 2.4.10) ma brakującą autoryzację, co umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Atakujący może wykonać operacje, do których nie powinien mieć uprawnień.

Brak autoryzacji w wtyczce Amelia (ameliabooking) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji od n/a do 2.4.10.

Podatność Missing Authorization w wtyczce Amelia (ameliabooking) dla WordPressa, występująca w wersjach do 2.4.10 włącznie, pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.

Wtyczka Amelia w wersjach do 2.4.9 włącznie zawiera podatność SQL Injection dostępną dla edytorów. Umożliwia to użytkownikom z uprawnieniami edytora wstrzykiwanie złośliwych zapytań SQL do bazy danych.

Wtyczka Amelia dla WordPressa do wersji 2.2 włącznie jest podatna na Stored Cross-Site Scripting przez pola nazw klienta. Obejście uwierzytelniania (brak weryfikacji nonce) pozwala niezautoryzowanym użytkownikom na przesyłanie danych rezerwacji, a w widoku kalendarza administratora nazwy klientów są interpolowane do literałów szablonów JavaScript i renderowane przez innerHTML bez odpowiedniego kodowania encji HTML. Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się po najechaniu kursorem na rezerwację.

Wtyczka Amelia dla WordPressa jest podatna na atak SQL Injection podczas importu klientów. Luka występuje we wszystkich wersjach do 2.4.3 włącznie, z powodu niedostatecznego escapowania parametru i braku przygotowania zapytania SQL.

Wersje Amelia do 2.3 zawierają podatność umożliwiającą eskalację uprawnień subskrybenta.