CVE-2026-14240

ŚrednieCVSS 5.3

Opublikowano: 06/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 06/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Wtyczka tourmaster dla WordPressa przed wersją 5.4.9 zapisuje eksport zamówień/rezerwacji do stałego, przewidywalnego pliku w publicznie dostępnym katalogu bez kontroli dostępu. Pozwala to nieuwierzytelnionym użytkownikom pobrać wyeksportowane dane osobowe klientów po wykonaniu eksportu przez administratora.

Ocena ryzyka

Poufne dane klientów, takie jak dane osobowe, mogą zostać ujawnione niepowołanym osobom, co narusza przepisy o ochronie danych.

Rekomendacja

Zaktualizuj wtyczkę tourmaster do wersji 5.4.9 lub nowszej. Dodatkowo upewnij się, że pliki eksportu są przechowywane w chronionym katalogu i wymagają uwierzytelnienia do pobrania.

Inne podatności w tourmaster WordPress plugin

CVE-2026-14239Wysokie
Wtyczka tourmaster dla WordPressa przed wersją 5.4.8 nie sprawdza nonce podczas zapisywania etykiety niestandardowego filtra pobranej z parametru żądania, a także nie escapuje tej etykiety przy wyświetlaniu na stronie administracyjnej filtrów. Nieuwierzytelniony atakujący może nakłonić zalogowanego administratora do zapisania JavaScriptu, który następnie wykonuje się w panelu administracyjnym (stored XSS przez CSRF).

Oryginalny opis (angielski, źródło NVD)

The tourmaster WordPress plugin before 5.4.9 writes its order/booking export to a fixed, predictable file inside its publicly accessible directory with no access control, allowing unauthenticated users to download the exported customers' personal information once an administrator has run an export.