CVE-2026-14211
NiskieCVSS 3.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 9.7 nie weryfikuje, czy uwierzytelniony pracownik (dostawca) jest powiązany z klientem, którego dane są dostępne, co pozwala każdemu pracownikowi z loginem do Panelu Pracownika na odczyt i modyfikację danych osobowych dowolnego klienta poprzez enumerację sekwencyjnych identyfikatorów.
Ocena ryzyka
Pracownicy mogą uzyskać dostęp do danych osobowych klientów, co narusza prywatność i może prowadzić do wycieku danych wrażliwych.
Rekomendacja
Zaktualizuj wtyczkę Booking for Appointments and Events Calendar do wersji 9.7 lub nowszej, która zawiera poprawki kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The Booking for Appointments and Events Calendar WordPress plugin before 9.7 does not verify that an authenticated employee (provider) is related to the customer whose record is being accessed, allowing any employee with an Employee Panel login to read and modify the stored personal data of any customer by enumerating sequential identifiers.