CVE-2026-17087
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
Wtyczka WP Travel Engine dla WordPressa do wersji 6.8.4 włącznie jest podatna na obejście autoryzacji, co pozwala nieuwierzytelnionym atakującym na podgląd prywatnych danych rozliczeniowych rezerwacji, takich jak imię, nazwisko, adres e-mail, adres, miasto i numer telefonu klienta, poprzez powiązanie dowolnego ID rezerwacji z sesją atakującego.
Ocena ryzyka
Atakujący może uzyskać dostęp do wrażliwych danych osobowych klientów, co narusza prywatność i może prowadzić do kradzieży tożsamości lub oszustw.
Rekomendacja
Zaktualizuj wtyczkę WP Travel Engine do najnowszej wersji, jeśli dostępna jest poprawka. Dodatkowo ogranicz dostęp do punktów końcowych i wdróż dodatkowe mechanizmy autoryzacji.
Inne podatności w WP Travel Engine
Zobacz wszystkie- CVE-2026-49770Krytyczne
W WP Travel Engine w wersjach do 6.7.12 występuje podatność na nieautoryzowaną iniekcję obiektów PHP.
- CVE-2026-9231Wysokie
Wtyczka WP Travel Engine – Tour Booking Plugin – Tour Operator Software dla WordPress jest podatna na lokalne włączenie plików (Local File Inclusion) we wszystkich wersjach do 6.8.0 włącznie, poprzez funkcję wte_get_template. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu współpracownika i wyższym włączenie i wykonanie dowolnych plików .php na serwerze.
- CVE-2026-16737Średnie
Wtyczka WP Travel Engine przed wersją 6.8.5 nie przeprowadza kontroli autoryzacji ani własności podczas ładowania identyfikatora rezerwacji dostarczonego przez wywołującego w jednej z nieuwierzytelnionych akcji koszyka. Pozwala to nieuwierzytelnionym atakującym na ujawnienie szczegółów zamówienia i danych rozliczeniowych dowolnego klienta oraz na nadpisanie rekordu rezerwacji własnymi danymi.
- CVE-2026-12501Średnie
Wtyczka WP Travel Engine dla WordPressa przed wersją 6.8.2 nie weryfikuje, czy przychodzące powiadomienie o płatności PayPal zostało wysłane na skonfigurowane konto sprzedawcy, ani czy zapłacona kwota zgadza się z sumą zamówienia, przed oznaczeniem rezerwacji jako opłaconej. Umożliwia to nieuwierzytelnionym atakującym oznaczanie rezerwacji jako w pełni opłaconych przy użyciu płatności tokenem dokonanej na konto kontrolowane przez atakującego.
- CVE-2026-12500Wysokie
Wtyczka WP Travel Engine do WordPressa przed wersją 6.8.2 nie sprawdza uprawnień w akcji AJAX aktualizującej opcję wtyczki. Niezalogowani użytkownicy mogą nadpisać ogólnowitrynę opcję WP Travel Engine (publiczny nonce jest udostępniany anonimowym odwiedzającym).
- CVE-2026-10834Średnie
Wtyczka WP Travel Engine dla WordPressa przed wersją 6.8.1 nieprawidłowo weryfikuje źródło ścieżki obrazu profilowego dostarczonego przez użytkownika przed przeniesieniem pliku. Umożliwia to uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta i wyższym przenoszenie dowolnych plików w katalogu uploads WordPressa do własnej ścieżki obrazu profilowego.
- CVE-2026-49078Wysokie
W WP Travel Engine w wersjach do 6.7.10 występuje nieautoryzowany typ podatności, który może być wykorzystany przez atakujących.
- CVE-2026-2437Średnie
Podatność na przechowywany XSS w pluginie WP Travel Engine dla WordPress (wersje do 6.7.5). Brak odpowiedniego oczyszczania i kodowania atrybutów w shortcode'ie 'wte_trip_tax' umożliwia uwierzytelnionym atakującym (od poziomu contributor) wstrzyknięcie złośliwego JavaScript.
Oryginalny opis (angielski, źródło NVD)
The WP Travel Engine – Tour Booking Plugin – Tour Operator Software plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 6.8.4. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to view private booking billing details — including the victim customer's first name, last name, email address, street address, city, and phone number — rendered as default values in checkout form fields by binding an arbitrary booking ID to the attacker's session. The only access control on the endpoint is a frontend nonce that is publicly emitted to all visitors via the wteL10n global on trip pages, meaning it provides CSRF protection only and does not restrict unauthenticated access.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS