CVE-2026-8840
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Wtyczka Booking calendar, Appointment Booking System dla WordPressa do wersji 3.2.36 włącznie ma podatność na obejście autoryzacji. Nieuwierzytelnieni atakujący mogą oznaczać rezerwacje jako opłacone lub zakończone, anulować płatności, automatycznie zatwierdzać rezerwacje i wywoływać e-maile transakcyjne.
Ocena ryzyka
Ryzyko obejmuje manipulację rezerwacjami i płatnościami, co może prowadzić do strat finansowych i naruszenia integralności danych. Automatyczne zatwierdzanie wymaga włączenia opcji 'enable_psuccess_approval', ale manipulacja statusem płatności jest możliwa zawsze.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do wersji z poprawką. Należy również sprawdzić logi pod kątem nieautoryzowanych zmian rezerwacji i rozważyć dodatkowe zabezpieczenia, takie jak weryfikacja nonce.
Oryginalny opis (angielski, źródło NVD)
The Booking calendar, Appointment Booking System plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 3.2.36. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to mark arbitrary reservations as paid or completed, cancel legitimate payments, auto-approve reservations, and trigger transactional booking emails by writing attacker-supplied payment status and transaction data directly into the payments table. The auto-approval of reservations is only triggered when the 'enable_psuccess_approval' site option is enabled, but payment status manipulation and email dispatch are exploitable regardless of that setting.