PT-2025-47827 · WordPress · Appointment Booking Calendar
CVE-2025-13317
·
Publicado
2025-11-22
·
Atualizado
2025-11-22
CVSS v3.1
5.3
Média
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N |
Nome do Software Vulnerável e Versões Afetadas
Versões do Appointment Booking Calendar anteriores à 1.3.97
Descrição
O plugin Appointment Booking Calendar para WordPress é afetado por um problema de falta de autorização. O plugin expõe um endpoint de processamento de reservas não autenticado,
/cpabc appointments check IPN verification, que não verifica a origem ou autenticidade das notificações de pagamento fornecidas pelo atacante e carece de verificações de autorização adequadas. Isso permite que atacantes não autenticados confirmem reservas e as insiram no calendário ativo manipulando o parâmetro cpabc ipncheck, potencialmente disparando e-mails de notificação administrativos e de clientes e interrompendo operações.Recomendações
Atualize o Appointment Booking Calendar para a versão 1.3.97 ou posterior.
Correção
Missing Authorization
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Appointment Booking Calendar