CVE-2026-42751
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka Booking Manager (do wersji 2.1.18) zawiera podatność Stored XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron. Złośliwy kod może zostać zapisany i wykonany w przeglądarce użytkownika.
Ocena ryzyka
Atakujący może zapisać skrypt wykonujący się w sesji administratora lub użytkowników, co może prowadzić do przejęcia sesji lub modyfikacji danych. Wpływa to na bezpieczeństwo witryny WordPress.
Rekomendacja
Zaktualizuj wtyczkę Booking Manager do wersji nowszej niż 2.1.18. Rozważ dodatkowe filtrowanie danych wejściowych i wdrożenie CSP.
Inne podatności w Booking Manager
Zobacz wszystkie- CVE-2026-91025Średnie
Wtyczka WordPress Booking Manager w wersji przed 2.1.21 nie weryfikuje, czy żądanie modyfikacji ustawień specyficznych dla użytkownika dotyczy konta osoby wysyłającej żądanie. Uwierzytelnieni użytkownicy z poziomem subskrybenta i wyższym mogą tworzyć lub nadpisywać ustawienia wtyczki na kontach dowolnych użytkowników, w tym administratorów.
- CVE-2026-91024Średnie
Wtyczka WordPress Booking Manager w wersji przed 2.1.21 nie sanityzuje ani nie escapuje wartości pobieranych z zewnętrznego kanału iCalendar przed użyciem ich w zapytaniu SQL. Uwierzytelnieni użytkownicy z poziomem autora i wyższym mogą przeprowadzać ataki SQL injection, importując kontrolowany przez siebie kanał.
- CVE-2025-64275Średnie
Wtyczka Booking Manager (autorstwa wpdevelop) jest podatna na atak typu Stored Cross-site Scripting (XSS) z powodu nieprawidłowej neutralizacji danych wejściowych podczas generowania stron internetowych. Podatność dotyczy wersji od nieznanej do 2.1.17 włącznie.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in wpdevelop Booking Manager booking-manager allows Stored XSS.This issue affects Booking Manager: from n/a through <= 2.1.18.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS