CVE-2026-10834
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka WP Travel Engine dla WordPressa przed wersją 6.8.1 nieprawidłowo weryfikuje źródło ścieżki obrazu profilowego dostarczonego przez użytkownika przed przeniesieniem pliku. Umożliwia to uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta i wyższym przenoszenie dowolnych plików w katalogu uploads WordPressa do własnej ścieżki obrazu profilowego.
Ocena ryzyka
Atakujący może usunąć pliki multimedialne z ich oryginalnych lokalizacji, co prowadzi do przerwania działania treści na stronie, takich jak obrazy w artykułach czy galeriach. Może to zakłócić funkcjonowanie witryny i wpłynąć na jej wiarygodność.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę WP Travel Engine do wersji 6.8.1 lub nowszej. Ogranicz uprawnienia użytkowników do niezbędnego minimum i regularnie monitoruj logi pod kątem podejrzanych operacji na plikach.
Inne podatności w WP Travel Engine
Zobacz wszystkie- CVE-2026-49770Krytyczne
W WP Travel Engine w wersjach do 6.7.12 występuje podatność na nieautoryzowaną iniekcję obiektów PHP.
- CVE-2026-9231Wysokie
Wtyczka WP Travel Engine – Tour Booking Plugin – Tour Operator Software dla WordPress jest podatna na lokalne włączenie plików (Local File Inclusion) we wszystkich wersjach do 6.8.0 włącznie, poprzez funkcję wte_get_template. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu współpracownika i wyższym włączenie i wykonanie dowolnych plików .php na serwerze.
- CVE-2026-17087Wysokie
Wtyczka WP Travel Engine dla WordPressa do wersji 6.8.4 włącznie jest podatna na obejście autoryzacji, co pozwala nieuwierzytelnionym atakującym na podgląd prywatnych danych rozliczeniowych rezerwacji, takich jak imię, nazwisko, adres e-mail, adres, miasto i numer telefonu klienta, poprzez powiązanie dowolnego ID rezerwacji z sesją atakującego.
- CVE-2026-16737Średnie
Wtyczka WP Travel Engine przed wersją 6.8.5 nie przeprowadza kontroli autoryzacji ani własności podczas ładowania identyfikatora rezerwacji dostarczonego przez wywołującego w jednej z nieuwierzytelnionych akcji koszyka. Pozwala to nieuwierzytelnionym atakującym na ujawnienie szczegółów zamówienia i danych rozliczeniowych dowolnego klienta oraz na nadpisanie rekordu rezerwacji własnymi danymi.
- CVE-2026-12501Średnie
Wtyczka WP Travel Engine dla WordPressa przed wersją 6.8.2 nie weryfikuje, czy przychodzące powiadomienie o płatności PayPal zostało wysłane na skonfigurowane konto sprzedawcy, ani czy zapłacona kwota zgadza się z sumą zamówienia, przed oznaczeniem rezerwacji jako opłaconej. Umożliwia to nieuwierzytelnionym atakującym oznaczanie rezerwacji jako w pełni opłaconych przy użyciu płatności tokenem dokonanej na konto kontrolowane przez atakującego.
- CVE-2026-12500Wysokie
Wtyczka WP Travel Engine do WordPressa przed wersją 6.8.2 nie sprawdza uprawnień w akcji AJAX aktualizującej opcję wtyczki. Niezalogowani użytkownicy mogą nadpisać ogólnowitrynę opcję WP Travel Engine (publiczny nonce jest udostępniany anonimowym odwiedzającym).
- CVE-2026-49078Wysokie
W WP Travel Engine w wersjach do 6.7.10 występuje nieautoryzowany typ podatności, który może być wykorzystany przez atakujących.
- CVE-2026-2437Średnie
Podatność na przechowywany XSS w pluginie WP Travel Engine dla WordPress (wersje do 6.7.5). Brak odpowiedniego oczyszczania i kodowania atrybutów w shortcode'ie 'wte_trip_tax' umożliwia uwierzytelnionym atakującym (od poziomu contributor) wstrzyknięcie złośliwego JavaScript.
Oryginalny opis (angielski, źródło NVD)
The WP Travel Engine WordPress plugin before 6.8.1 does not properly validate the source of a user-supplied profile image path before moving the file, allowing authenticated users with subscriber-level access and above to relocate arbitrary files within the WordPress uploads directory into their own profile-image path. This removes the targeted media from its original location and can break content across the site.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS