CVE-2026-16142
KrytyczneCVSS 9.8Streszczenie
Wtyczka TrueBooker dla WordPressa do wersji 1.2.6 włącznie jest podatna na przejęcie konta. Dzieje się tak, ponieważ procedura AJAX add_front_user_update() jest dostępna dla niezalogowanych użytkowników i akceptuje dowolną wartość truebooker_wp_user_id, która jest przekazywana do wp_update_user() bez weryfikacji uwierzytelnienia lub własności. Umożliwia to niezalogowanym atakującym zmianę adresu e-mail dowolnego konta użytkownika, w tym administratora, a następnie wykorzystanie natywnego mechanizmu resetowania hasła do przejęcia konta.
Ocena ryzyka
Ryzyko przejęcia konta administratora i pełnej kompromitacji witryny WordPress.
Rekomendacja
Zaktualizuj wtyczkę TrueBooker do najnowszej wersji, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
The TrueBooker plugin for WordPress is vulnerable to Account Takeover in all versions up to, and including, 1.2.6. This is due to the add_front_user_update() AJAX handler being registered for unauthenticated users and accepting an arbitrary truebooker_wp_user_id value, which is passed directly to wp_update_user() without verifying authentication or ownership. This makes it possible for unauthenticated attackers to change any WordPress user account email address, including an administrator, by submitting the target user ID and an attacker-controlled email address. An attacker can then use the native WordPress password reset flow to receive the reset link at the attacker-controlled email address and take over the account.