CVE-2026-12111
Təsvir
WordPress üçün olan Appointment Booking Calendar plagini 1.4.01 daxil olmaqla daha aşağı versiyalarda Həssas Məlumatların Sızması (Sensitive Information Exposure) boşluğuna malikdir. Bu, wp-admin bölməsində cpabc_calendar_load2=1 sorğu parametri vasitəsilə əlçatan olan və yalnız Kontribütor səviyyəli və daha yuxarı istifadəçilərə verilmiş is_admin() && current_user_can('edit_posts') imkanını yoxlayan cpabc_appointments_calendar_load2() funksiyasındakı yetkisiz giriş və təqvimlərin mülkiyyət yoxlamalarının çatışmazlığı ilə bağlıdır. Bu, Kontribütor səviyyəli və daha yuxarı girişi olan autentifikasiya olunmuş hücumçulara id parametri vasitəsilə ixtiyari təqvim ID-si təqdim etməklə, plagin tərəfindən idarə olunan hər hansı bir təqvimdən müştəri rezervasiya məlumatlarını, o cümlədən e-poçt ünvanlarını, adları, telefon nömrələrini, rezervasiya vaxtlarını və şərhləri çıxarmağa imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| codepeople Appointment Booking Calendar | v ≤ 1.4.01 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.