CVE-2026-13146
NiskieCVSS 3.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka WP Travel przed wersją 12.0.2 nie weryfikuje poprawnie, czy osoba żądająca jest właścicielem rezerwacji, której dotyczy zgłoszenie wpłaty bankowej. Pozwala to nieuwierzytelnionemu atakującemu, który zna adres e-mail klienta, na zmianę stanu płatności rezerwacji tego klienta i dołączenie do niej pliku.
Ocena ryzyka
Ryzyko obejmuje możliwość manipulacji stanem płatności klienta oraz dołączania złośliwych plików, co może prowadzić do oszustw i naruszenia integralności danych.
Rekomendacja
Zaleca się aktualizację wtyczki WP Travel do wersji 12.0.2 lub nowszej, która zawiera poprawkę weryfikacji własności rezerwacji.
Inne podatności w WP Travel
Zobacz wszystkie- CVE-2026-45218Wysokie
W podatności CVE-2026-45218 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do podatności na atak typu Blind SQL Injection w wtyczce WP Travel. Problem ten dotyczy wersji WP Travel od n/a do 11.4.0.
- CVE-2026-81796Wysokie
Wtyczka WP Travel dla WordPressa (do wersji 12.0.3) zawiera podatność typu Authentication Bypass wykorzystującą alternatywną ścieżkę lub kanał, umożliwiającą przejęcie procesu odzyskiwania hasła. Atakujący może zresetować hasło ofiary bez jej wiedzy.
- CVE-2026-18042Średnie
Wtyczka WP Travel przed wersją 12.0.2 nie weryfikuje, czy osoba żądająca jest upoważniona do działania na rezerwacji, której dotyczy jeden z front-endowych handlerów komunikatów płatności. Pozwala to nieuwierzytelnionym atakującym anulować płatność na dowolnej rezerwacji klienta.
- CVE-2026-13144Niskie
Wtyczka WP Travel przed wersją 12.0.2 nie weryfikuje poprawnie, czy osoba żądająca jest upoważniona do modyfikacji docelowej rezerwacji na jednej z gałęzi handlera wpłat bankowych. Pozwala to nieuwierzytelnionemu atakującemu, który zna adres e-mail klienta, na zresetowanie płatności rezerwacji tego klienta do stanu nieopłaconego i usunięcie przechowywanych danych dotyczących rozliczenia wpłaty.
- CVE-2026-13145Średnie
Wtyczka WP Travel do WordPressa przed wersją 11.8.1 nie weryfikuje, czy żądana rezerwacja w panelu klienta należy do bieżącego użytkownika. Każdy zalogowany użytkownik może odczytać szczegóły rezerwacji innego klienta, w tym adres rozliczeniowy, podając dowolny identyfikator rezerwacji.
- CVE-2026-13143Średnie
Wtyczka WP Travel do WordPressa przed wersją 11.8.1 nie weryfikuje powiadomień PayPal Instant Payment Notification poprzez uzgadnianie z PayPal przed oznaczeniem rezerwacji jako opłaconej. Niezalogowani atakujący mogą sfałszować powiadomienie, które zmienia dowolną oczekującą rezerwację na opłaconą i zarezerwowaną po wybranej przez atakującego cenie.
- CVE-2026-11868Średnie
Wtyczka WP Travel dla WordPressa przed wersją 11.7.1 nie sprawdza uprawnień ani własności podczas anulowania rezerwacji, a akcja ta jest dostępna dla niezalogowanych użytkowników, co pozwala im anulować dowolne rezerwacje na stronie.
Oryginalny opis (angielski, źródło NVD)
The WP Travel WordPress plugin before 12.0.2 does not properly verify that the requester owns the booking targeted by its bank-deposit slip submission, allowing an unauthenticated attacker who knows the target customer's email address to change that customer's booking payment state and attach a file to it.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS