CVE-2025-13756: Fluent Booking dla WordPress umożliwia nieautoryzowany import kalendarzy

Co wiadomo

Wtyczka Fluent Booking dla WordPress do wersji 1.9.11 ma lukę pozwalającą użytkownikom z poziomem subskrybenta i wyższym na nieautoryzowany import i zarządzanie kalendarzami. Brak odpowiedniej weryfikacji uprawnień w funkcji importCalendar umożliwia takie działania.

Wpływ biznesowy

Atakujący z kontem subskrybenta lub wyższym mogą importować i zarządzać kalendarzami, co może prowadzić do nieautoryzowanych zmian w harmonogramach i potencjalnych zakłóceń w działaniu usług. Może to wpłynąć na integralność danych i zaufanie użytkowników do systemu rezerwacji.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Fluent Booking i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do kont z uprawnieniami subskrybenta i wyższymi oraz monitorować logi pod kątem nietypowych działań związanych z importem kalendarzy. Priorytetowo traktuj aktualizacje i audyt uprawnień użytkowników.

Źródła

• NVD
• Reference
• Reference