Analityczne wykorzystywanie plików cookies
CVE-2025-14146: Ujawnienie wrażliwych danych w wtyczce Booking Calendar dla WordPress
Wtyczka Booking Calendar do WordPress narażona na wyciek danych klientów przez lukę CVE-2025-14146. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 5.3 MEDIUM
- EPSS
- 26.15%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Booking Calendar dla WordPress do wersji 10.14.10 umożliwia nieautoryzowanym atakującym dostęp do wrażliwych danych rezerwacji poprzez akcję AJAX WPBC_FLEXTIMELINE_NAV. Problem wynika z domyślnie wyłączonej weryfikacji nonce oraz aktywnej opcji wyświetlania popovera w interfejsie, co pozwala na wyciągnięcie danych klientów, takich jak imiona, adresy e-mail, numery telefonów i szczegóły rezerwacji.
Wpływ biznesowy
Atakujący bez uwierzytelnienia mogą uzyskać dostęp do poufnych danych klientów, co może prowadzić do naruszenia prywatności i utraty zaufania użytkowników. Organizacje korzystające z tej wtyczki powinny rozważyć ryzyko wycieku danych osobowych oraz potencjalne konsekwencje prawne i reputacyjne.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Booking Calendar i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji AJAX WPBC_FLEXTIMELINE_NAV, wyłączyć opcję booking_is_show_popover_in_timeline_front_end oraz monitorować logi pod kątem podejrzanej aktywności. Priorytetowo traktuj aktualizacje i zabezpieczenia wtyczek WordPress.