CVE-2025-12842: Luka w wtyczce Booking Plugin dla WordPress umożliwia nieautoryzowane wysyłanie e-maili

Co wiadomo

Wtyczka Booking Plugin for WordPress Appointments – Time Slot do wersji 1.4.7 zawiera lukę pozwalającą na wysyłanie e-maili z powiadomieniami o spotkaniach przez nieautoryzowanych użytkowników. Brak walidacji w akcji AJAX tslot_appt_email umożliwia atakującym wysyłanie wiadomości z dowolną treścią do wybranych odbiorców.

Wpływ biznesowy

Ta luka może zostać wykorzystana do rozsyłania spamu lub przeprowadzania kampanii phishingowych z wykorzystaniem zaufanej domeny serwisu. Może to negatywnie wpłynąć na reputację firmy oraz zwiększyć ryzyko naruszenia bezpieczeństwa danych i zasobów IT. Operatorzy powinni traktować tę podatność jako istotne zagrożenie dla bezpieczeństwa komunikacji e-mailowej.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki Booking Plugin i zaktualizować ją do najnowszej dostępnej wersji, jeśli jest dostępna poprawka. W przypadku braku aktualizacji zaleca się ograniczenie dostępu do funkcji AJAX oraz monitorowanie logów serwera pod kątem nietypowej aktywności związanej z wysyłką e-maili. Warto również rozważyć wdrożenie dodatkowych mechanizmów weryfikacji i filtrowania wiadomości e-mail.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference