CVE-2026-14216
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 2.4.7 nie wymaga uwierzytelnienia przed przetworzeniem kolejki oczekujących powiadomień, co pozwala nieuwierzytelnionemu użytkownikowi na wymuszenie wysyłki oczekujących powiadomień i wywołań integracyjnych.
Ocena ryzyka
Nieuwierzytelniony atakujący może wysyłać niechciane powiadomienia lub wywoływać integracje, co może prowadzić do nadużyć, spamu lub zakłócenia działania systemu.
Rekomendacja
Zaleca się aktualizację wtyczki do wersji 2.4.7 lub nowszej oraz wdrożenie uwierzytelniania dla przetwarzania kolejki powiadomień.
Inne podatności w Booking for Appointments and Events Calendar
Zobacz wszystkie- CVE-2026-10148Średnie
Wtyczka Booking for Appointments and Events Calendar dla WordPressa w wersjach do 2.4.9 włącznie jest podatna na Stored Cross-Site Scripting poprzez wiele widgetów Elementora. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych parametru 'load_manually' w metodach render() klas. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi, mogący korzystać z Elementora, może wstrzyknąć dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika.
- CVE-2026-14215Średnie
Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 2.4.9 nie wymaga uwierzytelnienia ani ważnego tokenu żądania przed uruchomieniem łańcucha akcji po dokonaniu rezerwacji, co pozwala nieuwierzytelnionemu użytkownikowi wywołać powiadomienia o rezerwacji i wywołania zwrotne integracji dla rezerwacji poprzez enumerację jej identyfikatora.
- CVE-2026-77704Niskie
Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 2.4.9 nie sprawdza, czy użytkownik posiada wymagane uprawnienia przed zmianą statusu wizyty, co pozwala klientom na ustawianie dowolnych statusów wizyt, na które są zapisani, w tym zatwierdzanie własnych rezerwacji oczekujących na zatwierdzenie oraz nadpisywanie statusów rezerwacji innych klientów na wspólnej wizycie.
- CVE-2026-14212Średnie
Wtyczka Booking for Appointments and Events Calendar przed wersją 9.8 nie weryfikuje, czy uwierzytelniony pracownik (dostawca) jest właścicielem aktualizowanego konta dostawcy. Pozwala to każdemu pracownikowi z loginem do Panelu Pracownika na nadpisanie hasła kabiny innego pracownika i przejęcie jego konta.
- CVE-2026-14213Niskie
Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 2.4.6 nie weryfikuje, czy uwierzytelniony pracownik (dostawca) jest przypisany do odwiedzanego spotkania. Umożliwia to każdemu pracownikowi odczytanie dowolnego spotkania po jego identyfikatorze i ujawnienie danych osobowych klienta, który dokonał rezerwacji.
- CVE-2026-14214Niskie
Wtyczka Booking for Appointments and Events Calendar dla WordPressa przed wersją 2.4.4 nie ogranicza, które pola mogą być zapisywane podczas importu klientów. Użytkownik z rolą Amelia Manager może modyfikować dowolne kolumny dowolnego rekordu użytkownika, podając je w żądaniu importu.
Oryginalny opis (angielski, źródło NVD)
The Booking for Appointments and Events Calendar WordPress plugin before 2.4.7 does not require authentication before processing its pending notification queue, allowing an unauthenticated user to force the dispatch of queued notifications and integration callbacks.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS