CVE-2026-14239

WysokieCVSS 7.1

Opublikowano: 30/07/2026(UTC)Zaktualizowano: 04/08/2026(UTC)Przetłumaczono: 30/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.11%

Percentyl 1 - wyżej niż 1% wszystkich znanych CVE

Streszczenie

Wtyczka tourmaster dla WordPressa przed wersją 5.4.8 nie sprawdza nonce podczas zapisywania etykiety niestandardowego filtra pobranej z parametru żądania, a także nie escapuje tej etykiety przy wyświetlaniu na stronie administracyjnej filtrów. Nieuwierzytelniony atakujący może nakłonić zalogowanego administratora do zapisania JavaScriptu, który następnie wykonuje się w panelu administracyjnym (stored XSS przez CSRF).

Ocena ryzyka

Administrator może nieświadomie zapisać złośliwy skrypt, który przejmie jego sesję lub wykona inne działania w panelu administracyjnym, co może prowadzić do pełnej kompromitacji witryny.

Rekomendacja

Zaktualizuj wtyczkę tourmaster do wersji 5.4.8 lub nowszej.

Inne podatności w tourmaster WordPress plugin

CVE-2026-14240Średnie
Wtyczka tourmaster dla WordPressa przed wersją 5.4.9 zapisuje eksport zamówień/rezerwacji do stałego, przewidywalnego pliku w publicznie dostępnym katalogu bez kontroli dostępu. Pozwala to nieuwierzytelnionym użytkownikom pobrać wyeksportowane dane osobowe klientów po wykonaniu eksportu przez administratora.

Oryginalny opis (angielski, źródło NVD)

The tourmaster WordPress plugin before 5.4.8 does not perform a nonce check when storing a custom-filter label taken from a request parameter, and does not escape that label when echoing it on the filter admin page, allowing an unauthenticated attacker to trick a logged-in administrator into storing JavaScript that then executes in the admin area (stored Cross-Site Scripting via CSRF).