Podatności BA Book Everything
3 znanych podatności CVE w BA Book Everything, przetłumaczonych i ocenionych.
- CVE-2026-39786Wysokie
Wtyczka WordPress BA Book Everything w wersjach do 1.8.33 zawiera podatność Cross Site Scripting (XSS), którą można wykorzystać bez uwierzytelnienia. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt do strony.
- CVE-2026-102565Wysokie
Wtyczka BA Book Everything dla WordPressa jest podatna na przechowywany atak XSS przez parametr 'booking_service_qty'. Brak odpowiedniego czyszczenia danych wejściowych i wyjściowych pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypty, które wykonają się po otwarciu zainfekowanej strony.
- CVE-2026-96039Wysokie
Wtyczka BA Book Everything dla WordPressa (wersje do 1.8.27 włącznie) jest podatna na przechowywany XSS poprzez parametr first_name z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty internetowe, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Nieuwierzytelniony atakujący może uzyskać ważne poświadczenia order_id, order_num i order_hash wymagane do osiągnięcia podatnego handlera action_to_pay() po prostu składając rezerwację gościa przez publiczny shortcode [babe-booking-form], co czyni pełny łańcuch exploitacji osiągalnym bez żadnego konta.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS