CVE-2026-94668

Wtyczka Salon booking system w wersjach do 10.30.26 zawiera podatność na nieuwierzytelnione złamanie uwierzytelniania (Broken Authentication). Osoba atakująca bez logowania może obejść mechanizmy uwierzytelniania i uzyskać dostęp do kont użytkowników lub administratorów.

Wtyczka Salon Booking System dla WordPressa przed wersją 10.31.11 nie ogranicza jednego ze swoich punktów końcowych REST API do personelu salonu. Umożliwia to każdemu uwierzytelnionemu użytkownikowi, np. subskrybentowi, pobranie wszystkich skonfigurowanych kuponów rabatowych, w tym ukrytych przed klientami, wraz z ich kwotami, datami ważności i limitami użycia.

Wtyczka Salon Booking System dla WordPressa przed wersją 10.31.11 nie waliduje adresu URL obrazu podanego przez użytkownika przed pobraniem go po stronie serwera i zapisaniem odpowiedzi w publicznie dostępnej lokalizacji pod nazwą pliku wybraną przez atakującego. Umożliwia to użytkownikom z rolą Salon Staff i wyżej wymuszenie na serwerze odczytu zasobów wewnętrznych i ich ujawnienie oraz zapisanie złośliwego SVG, który wykonuje dowolne skrypty w domenie witryny dla każdego, kto go otworzy.

Wtyczka Salon Booking System dla WordPressa (wersje do 10.31.9 włącznie) jest podatna na przechowywany Cross-Site Scripting poprzez parametr 'sln[<checkout-field-key>]' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Podatność Unauthenticated Privilege Escalation w Salon booking system do wersji 10.31.7 pozwala nieuwierzytelnionemu atakującemu na podniesienie swoich uprawnień.

W wtyczce Salon booking system (salon-booking-system) od Dimitri Grassi występuje podatność braku autoryzacji, która pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 10.31.9.

Wtyczka Salon Booking System dla WordPressa do wersji 10.30.33 nie przeprowadza żadnej kontroli uprawnień ani nie weryfikuje wartości stanu OAuth w swoim wywołaniu zwrotnym autoryzacji Google Calendar, które jest również podpięte dla nieuwierzytelnionych użytkowników. Umożliwia to nieuwierzytelnionemu atakującemu nadpisanie zapisanych tokenów połączenia z Kalendarzem Google tokenami kontrolowanymi przez atakującego i przejęcie integracji. Wykorzystanie wymaga, aby witryna skonfigurowała własnego klienta OAuth Google dla funkcji kalendarza.

Wtyczka Salon Booking System dla WordPressa przed wersją 10.30.34 nieprawidłowo weryfikuje token własności rezerwacji przed jej załadowaniem w krokach potwierdzenia kreatora rezerwacji. Umożliwia to nieuwierzytelnionym atakującym ujawnienie rekordów rezerwacji innych klientów, w tym danych osobowych, poprzez podanie sekwencyjnego identyfikatora rezerwacji.

Wtyczka Salon Booking System dla WordPressa przed wersją 10.30.34 nie ogranicza prawidłowo dostępu do niektórych akcji AJAX modyfikacji rezerwacji i nie weryfikuje własności docelowej rezerwacji, co pozwala nieuwierzytelnionym użytkownikom na manipulowanie zapisaną sumą dowolnych rezerwacji.

Wtyczka Salon Booking System dla WordPressa do wersji 10.31.0 nie weryfikuje, czy żądana rezerwacja należy do wywołującego na jednym z jej endpointów REST API, wymagając jedynie podstawowej zdolności odczytu, co pozwala każdemu uwierzytelnionemu użytkownikowi (w tym Subscriberowi lub samodzielnie zarejestrowanemu kontu klienta) na ujawnienie danych osobowych dowolnej rezerwacji klienta, takich jak imię, e-mail, numer telefonu, adres i prywatne notatki, poprzez enumerację identyfikatorów rezerwacji.