CVE-2026-13143
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka WP Travel do WordPressa przed wersją 11.8.1 nie weryfikuje powiadomień PayPal Instant Payment Notification poprzez uzgadnianie z PayPal przed oznaczeniem rezerwacji jako opłaconej. Niezalogowani atakujący mogą sfałszować powiadomienie, które zmienia dowolną oczekującą rezerwację na opłaconą i zarezerwowaną po wybranej przez atakującego cenie.
Ocena ryzyka
Atakujący może fałszywie potwierdzać płatności, co prowadzi do strat finansowych i nieautoryzowanego dostępu do usług turystycznych.
Rekomendacja
Zaktualizuj wtyczkę WP Travel do wersji 11.8.1 lub nowszej.
Inne podatności w WP Travel
Zobacz wszystkie- CVE-2026-45218Wysokie
W podatności CVE-2026-45218 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do podatności na atak typu Blind SQL Injection w wtyczce WP Travel. Problem ten dotyczy wersji WP Travel od n/a do 11.4.0.
- CVE-2026-13145Średnie
Wtyczka WP Travel do WordPressa przed wersją 11.8.1 nie weryfikuje, czy żądana rezerwacja w panelu klienta należy do bieżącego użytkownika. Każdy zalogowany użytkownik może odczytać szczegóły rezerwacji innego klienta, w tym adres rozliczeniowy, podając dowolny identyfikator rezerwacji.
- CVE-2026-11868Średnie
Wtyczka WP Travel dla WordPressa przed wersją 11.7.1 nie sprawdza uprawnień ani własności podczas anulowania rezerwacji, a akcja ta jest dostępna dla niezalogowanych użytkowników, co pozwala im anulować dowolne rezerwacje na stronie.
Oryginalny opis (angielski, źródło NVD)
The WP Travel WordPress plugin before 11.8.1 does not verify PayPal Instant Payment Notifications through the PayPal post-back handshake before marking a booking paid, allowing unauthenticated attackers to forge a notification that flips an arbitrary pending booking to a paid and booked state at an attacker-chosen amount.