CVE-2026-14364
KrytyczneCVSS 9.8Streszczenie
Wtyczka TrueBooker – Appointment Booking and Scheduler System dla WordPressa, we wszystkich wersjach do 1.2.3 włącznie, jest podatna na przejęcie konta przez nieprawidłową walidację resetowania hasła. Wtyczka nie weryfikuje poprawnie tożsamości użytkownika przed zresetowaniem hasła, co umożliwia nieuwierzytelnionym atakującym resetowanie haseł dowolnych kont, w tym administratorów.
Ocena ryzyka
Atakujący może przejąć konta administratorów, co prowadzi do pełnej kompromitacji witryny WordPress.
Rekomendacja
Zaktualizuj wtyczkę TrueBooker do najnowszej dostępnej wersji, która zawiera poprawkę zabezpieczającą.
Oryginalny opis (angielski, źródło NVD)
The TrueBooker – Appointment Booking and Scheduler System plugin for WordPress is vulnerable to account takeover via improper password reset validation in all versions up to, and including, 1.2.3. This is due to the plugin not properly validating a user's identity before resetting their password. This makes it possible for unauthenticated attackers to reset the password of arbitrary user accounts, including administrators, and gain access to those accounts.