CVE-2026-18778
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka TrueBooker dla WordPressa przed wersją 1.2.7 nie ma odpowiednich kontroli autoryzacji w niektórych akcjach AJAX, co pozwala nieuwierzytelnionym użytkownikom pobierać dane osobowe klientów, którzy dokonali rezerwacji, w tym imię, adres e-mail, numer telefonu i adres pocztowy.
Ocena ryzyka
Ujawnienie danych osobowych klientów może naruszyć przepisy o ochronie danych (np. RODO) i zaszkodzić reputacji firmy.
Rekomendacja
Zaktualizuj wtyczkę TrueBooker do wersji 1.2.7 lub nowszej, aby zamknąć luki w autoryzacji.
Oryginalny opis (angielski, źródło NVD)
The TrueBooker WordPress plugin before 1.2.7 does not have proper authorisation checks in some of its AJAX actions, allowing unauthenticated users to retrieve the personal information of customers who booked an appointment, including their name, email address, phone number and postal address.