CVE-2026-15238
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka MotoPress Hotel Booking dla WordPressa przed wersją 6.2.3 nie weryfikuje własności rekordów przed ich aktualizacją, co pozwala każdemu uwierzytelnionemu użytkownikowi z kontem o niskich uprawnieniach (Subscriber i wyżej) na modyfikację lub nadpisanie danych osobowych dowolnego klienta poprzez podanie dowolnego identyfikatora.
Ocena ryzyka
Ryzyko naruszenia prywatności klientów i integralności danych rezerwacji.
Rekomendacja
Zaktualizuj wtyczkę MotoPress Hotel Booking do wersji 6.2.3 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
The MotoPress Hotel Booking WordPress plugin before 6.2.3 does not verify record ownership before updating customer records, allowing any authenticated user with a low-privileged account (Subscriber and above) to modify or overwrite the personal data of any customer by supplying an arbitrary identifier.