CVE-2026-14365
KrytyczneCVSS 9.8Streszczenie
Wtyczka TrueBooker – Appointment Booking and Scheduler System dla WordPressa, we wszystkich wersjach do 1.2.3 włącznie, jest podatna na obejście autoryzacji. Wtyczka nie weryfikuje poprawnie, czy użytkownik jest uprawniony do wykonania akcji, co umożliwia nieuwierzytelnionym atakującym zmianę hasła dowolnych kont użytkowników, w tym administratorów.
Ocena ryzyka
Atakujący może przejąć kontrolę nad kontami administratorów, co prowadzi do pełnej kompromitacji witryny WordPress.
Rekomendacja
Zaktualizuj wtyczkę TrueBooker do najnowszej dostępnej wersji, która zawiera poprawkę zabezpieczającą.
Oryginalny opis (angielski, źródło NVD)
The TrueBooker – Appointment Booking and Scheduler System plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 1.2.3. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to change the password of arbitrary user accounts, including administrators, which can be leveraged to gain access to those accounts.