CVE-2026-18777
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka TrueBooker dla WordPressa przed wersją 1.2.7 nie ma odpowiednich kontroli autoryzacji w jednej z akcji AJAX, co pozwala nieuwierzytelnionym użytkownikom zmieniać status dowolnych rezerwacji oraz wyzwalać wiadomości e-mail z powiadomieniami do dotkniętych klientów.
Ocena ryzyka
Atakujący może manipulować statusami rezerwacji, co może prowadzić do chaosu w harmonogramie i wysyłania fałszywych powiadomień do klientów.
Rekomendacja
Zaktualizuj wtyczkę TrueBooker do wersji 1.2.7 lub nowszej, aby naprawić brak autoryzacji.
Oryginalny opis (angielski, źródło NVD)
The TrueBooker WordPress plugin before 1.2.7 does not have proper authorisation checks in one of its AJAX actions, allowing unauthenticated users to change the status of arbitrary appointments, as well as to trigger notification emails to the affected customers.