CVE-2026-16142

Wtyczka TrueBooker – Appointment Booking and Scheduler System dla WordPressa (wersje do 1.2.6 włącznie) jest podatna na obejście autoryzacji przez klucz kontrolowany przez użytkownika, co prowadzi do przejęcia konta. Brak uwierzytelnienia w handlerze AJAX admin_user_create_cus pozwala nieuwierzytelnionym atakującym nadpisać adres e-mail dowolnego użytkownika, w tym administratora, a następnie wykorzystać standardowy proces odzyskiwania hasła do pełnego przejęcia konta.

Podatność umożliwiająca nieuwierzytelnioną eskalację uprawnień w aplikacji TrueBooker w wersjach do 1.2.6 włącznie. Atakujący bez logowania może podnieść swoje uprawnienia, np. do poziomu administratora.

Wtyczka TrueBooker dla WordPressa przed wersją 1.2.7 nie ma odpowiednich kontroli autoryzacji w niektórych akcjach AJAX, co pozwala nieuwierzytelnionym użytkownikom zmieniać adresy e-mail dowolnych użytkowników, w tym administratorów, a następnie przejmować ich konta poprzez proces resetowania hasła.

Wtyczka TrueBooker – Appointment Booking and Scheduler System dla WordPressa, we wszystkich wersjach do 1.2.3 włącznie, jest podatna na obejście autoryzacji. Wtyczka nie weryfikuje poprawnie, czy użytkownik jest uprawniony do wykonania akcji, co umożliwia nieuwierzytelnionym atakującym zmianę hasła dowolnych kont użytkowników, w tym administratorów.

Wtyczka TrueBooker – Appointment Booking and Scheduler System dla WordPressa, we wszystkich wersjach do 1.2.3 włącznie, jest podatna na przejęcie konta przez nieprawidłową walidację resetowania hasła. Wtyczka nie weryfikuje poprawnie tożsamości użytkownika przed zresetowaniem hasła, co umożliwia nieuwierzytelnionym atakującym resetowanie haseł dowolnych kont, w tym administratorów.

Wtyczka TrueBooker dla WordPressa przed wersją 1.2.4 nie weryfikuje własności konta podczas resetowania hasła przez jeden z front-endowych handlerów kont. Umożliwia to nieuwierzytelnionym atakującym ustawienie dowolnego hasła na dowolnym koncie, w tym administratora, i przejęcie strony.

Wtyczka TrueBooker w wersjach do 1.2.3 zawiera lukę umożliwiającą nieuwierzytelnioną eskalację uprawnień.

Wtyczka TrueBooker w wersjach do 1.2.3 jest podatna na nieuwierzytelnione wstrzyknięcie SQL.

W wersjach TrueBooker <= 1.1.9 występuje nieautoryzowany błąd kontroli dostępu, który może umożliwić atakującym dostęp do zasobów, do których nie powinni mieć dostępu.

Wtyczka TrueBooker dla WordPressa przed wersją 1.2.7 nie ma odpowiednich kontroli autoryzacji w jednej z akcji AJAX, co pozwala nieuwierzytelnionym użytkownikom usuwać dowolne rekordy rezerwacji wraz z powiązanymi pozycjami i płatnościami.