VULNERABILIDADDetectada 31 OCT · 07:22

CVE-2026-103915 Exposición de información sensible en Amelia vía el parámetro 'page'

El plugin Amelia para WordPress expone información de identificación personal del personal (nombre, correo, teléfono, género y zona horaria) y notas internas de administradores en la respuesta JSON, permitiendo a atacantes no autenticados extraerla mediante el parámetro 'page'.

5.3MEDIA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,3 % · percentil 17
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

melograno Booking for Appointments and Events Calendar – Amelia
hasta 2.4.12

Qué hacer

Verificá si usás Booking for Appointments and Events Calendar – Amelia y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosNinguno
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadBaja
IntegridadNinguna
DisponibilidadNinguna

Descripción original

The Booking for Appointments and Events Calendar – Amelia plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 2.4.12 via the 'page' parameter. This makes it possible for unauthenticated attackers to extract staff personally identifiable information — including full name, email address, phone number, gender, and timezone — as well as administrator-authored internal notes for every published event, all serialized into the JSON response because the raw providers array is never stripped before output.

Referencias (5)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.