CVE-2026-6320: Salon Booking System – Free Version narażony na odczyt dowolnych plików

Co wiadomo

Wtyczka Salon Booking System – Free Version dla WordPress w wersjach do 10.30.25 umożliwia nieautoryzowany odczyt lokalnych plików. Atakujący mogą wykorzystać podatność w publicznym procesie rezerwacji, aby dołączać złośliwe ścieżki plików do wiadomości e-mail z potwierdzeniem rezerwacji.

Wpływ biznesowy

Podatność pozwala na wyciek poufnych danych z serwera poprzez dołączanie dowolnych plików do wiadomości e-mail, co może prowadzić do naruszenia prywatności i bezpieczeństwa danych. Operatorzy stron WordPress korzystający z tej wtyczki powinni traktować tę lukę jako wysokiego ryzyka, zwłaszcza jeśli serwer zawiera wrażliwe informacje.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do formularzy rezerwacji, monitorować logi serwera pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji załączników w e-mailach potwierdzających rezerwacje.

Źródła

• NVD
• Reference
• Reference