CVE-2026-18776
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka TrueBooker dla WordPressa przed wersją 1.2.7 nie ma odpowiednich kontroli autoryzacji w niektórych akcjach AJAX, co pozwala nieuwierzytelnionym użytkownikom zmieniać adresy e-mail dowolnych użytkowników, w tym administratorów, a następnie przejmować ich konta poprzez proces resetowania hasła.
Ocena ryzyka
Przejęcie konta administratora może prowadzić do całkowitej kompromitacji witryny WordPress.
Rekomendacja
Natychmiast zaktualizuj wtyczkę TrueBooker do wersji 1.2.7 lub nowszej, aby zapobiec przejęciu kont.
Oryginalny opis (angielski, źródło NVD)
The TrueBooker WordPress plugin before 1.2.7 does not have proper authorisation checks in some of its AJAX actions, allowing unauthenticated users to change the email address of arbitrary users, including administrators, and subsequently take over their account via the password reset flow.