Плагин Rox Appointment Booking WordPress до версии 1.2.0 не выполняет никаких проверок возможностей или авторизации при сохранении расписания выходных, позволяя неаутентифицированным злоумышленникам перезаписывать даты, которые система бронирования считает недоступными, что может блокировать законные бронирования или открытые даты, которые владелец сайта намеревался оставить закрытыми.
Показать оригинальное описание (EN)
The Rox Appointment Booking WordPress plugin before 1.2.0 does not perform any capability or authorization check when saving its holiday schedule, allowing unauthenticated attackers to overwrite the dates the booking system treats as unavailable, which can block legitimate bookings or open dates the site owner intended to keep closed.
Характеристики атаки
Способ атаки
По сети
Атака возможна удалённо
Сложность
Низкая
Легко эксплуатировать
Нужны права
Не требуются
Права не нужны
Участие пользователя
Не требуется
Не нужно действие пользователя
Последствия
Конфиденциальность
Нет
Нет утечки данных
Целостность
Низкое
Частичная модификация данных
Доступность
Низкое
Частичное нарушение работы
Строка CVSS v3.1
Тип уязвимости (CWE)
Уязвимые продукты
unknown:rox appointment booking