CVE-2026-18200
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka FoodBoxBooker dla WordPressa przed wersją 1.0.8 nie weryfikuje, czy konto użytkownika, które jest aktualizowane, należy do użytkownika wysyłającego żądanie. Umożliwia to uwierzytelnionym użytkownikom z dostępem co najmniej na poziomie Subskrybenta modyfikowanie danych profilu dowolnych użytkowników, w tym administratorów.
Ocena ryzyka
Uwierzytelniony atakujący może zmienić dane profilu administratora, co może prowadzić do eskalacji uprawnień lub przejęcia konta.
Rekomendacja
Zaktualizuj wtyczkę FoodBoxBooker do wersji 1.0.8 lub nowszej, która zawiera poprawki weryfikacji właściciela konta.
Oryginalny opis (angielski, źródło NVD)
The FoodBoxBooker WordPress plugin before 1.0.8 does not verify that the user account being updated belongs to the user making the request, allowing authenticated users, with Subscriber-level access and above, to modify the profile details of arbitrary users, including administrators.