CVE-2026-12500
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka WP Travel Engine do WordPressa przed wersją 6.8.2 nie sprawdza uprawnień w akcji AJAX aktualizującej opcję wtyczki. Niezalogowani użytkownicy mogą nadpisać ogólnowitrynę opcję WP Travel Engine (publiczny nonce jest udostępniany anonimowym odwiedzającym).
Ocena ryzyka
Atakujący może zmienić konfigurację wtyczki, potencjalnie wyłączając zabezpieczenia lub zmieniając ustawienia płatności, co prowadzi do dalszych ataków.
Rekomendacja
Zaktualizuj wtyczkę WP Travel Engine do wersji 6.8.2 lub nowszej.
Inne podatności w WP Travel Engine
Zobacz wszystkie- CVE-2026-49770Krytyczne
W WP Travel Engine w wersjach do 6.7.12 występuje podatność na nieautoryzowaną iniekcję obiektów PHP.
- CVE-2026-17087Wysokie
Wtyczka WP Travel Engine dla WordPressa do wersji 6.8.4 włącznie jest podatna na obejście autoryzacji, co pozwala nieuwierzytelnionym atakującym na podgląd prywatnych danych rozliczeniowych rezerwacji, takich jak imię, nazwisko, adres e-mail, adres, miasto i numer telefonu klienta, poprzez powiązanie dowolnego ID rezerwacji z sesją atakującego.
- CVE-2026-16737Średnie
Wtyczka WP Travel Engine przed wersją 6.8.5 nie przeprowadza kontroli autoryzacji ani własności podczas ładowania identyfikatora rezerwacji dostarczonego przez wywołującego w jednej z nieuwierzytelnionych akcji koszyka. Pozwala to nieuwierzytelnionym atakującym na ujawnienie szczegółów zamówienia i danych rozliczeniowych dowolnego klienta oraz na nadpisanie rekordu rezerwacji własnymi danymi.
- CVE-2026-12501Średnie
Wtyczka WP Travel Engine dla WordPressa przed wersją 6.8.2 nie weryfikuje, czy przychodzące powiadomienie o płatności PayPal zostało wysłane na skonfigurowane konto sprzedawcy, ani czy zapłacona kwota zgadza się z sumą zamówienia, przed oznaczeniem rezerwacji jako opłaconej. Umożliwia to nieuwierzytelnionym atakującym oznaczanie rezerwacji jako w pełni opłaconych przy użyciu płatności tokenem dokonanej na konto kontrolowane przez atakującego.
- CVE-2026-10834Średnie
Wtyczka WP Travel Engine dla WordPressa przed wersją 6.8.1 nieprawidłowo weryfikuje źródło ścieżki obrazu profilowego dostarczonego przez użytkownika przed przeniesieniem pliku. Umożliwia to uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta i wyższym przenoszenie dowolnych plików w katalogu uploads WordPressa do własnej ścieżki obrazu profilowego.
- CVE-2026-49078Wysokie
W WP Travel Engine w wersjach do 6.7.10 występuje nieautoryzowany typ podatności, który może być wykorzystany przez atakujących.
- CVE-2026-2437Średnie
Podatność na przechowywany XSS w pluginie WP Travel Engine dla WordPress (wersje do 6.7.5). Brak odpowiedniego oczyszczania i kodowania atrybutów w shortcode'ie 'wte_trip_tax' umożliwia uwierzytelnionym atakującym (od poziomu contributor) wstrzyknięcie złośliwego JavaScript.
Oryginalny opis (angielski, źródło NVD)
The WP Travel Engine WordPress plugin before 6.8.2 does not perform a capability check on an AJAX action that updates a WP Travel Engine WordPress plugin before 6.8.2 option, allowing unauthenticated users to overwrite a site-wide WP Travel Engine WordPress plugin before 6.8.2 option (the public nonce that gates the action is served to anonymous visitors).