CVE-2026-18779
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka TrueBooker dla WordPressa przed wersją 1.2.7 nie ma odpowiednich kontroli autoryzacji w jednej z akcji AJAX, co pozwala nieuwierzytelnionym użytkownikom usuwać dowolne rekordy rezerwacji wraz z powiązanymi pozycjami i płatnościami.
Ocena ryzyka
Atakujący może usunąć wszystkie rezerwacje i dane płatności, co prowadzi do utraty danych i zakłócenia działania usługi.
Rekomendacja
Zaktualizuj wtyczkę TrueBooker do wersji 1.2.7 lub nowszej, która zawiera poprawki autoryzacji.
Oryginalny opis (angielski, źródło NVD)
The TrueBooker WordPress plugin before 1.2.7 does not have proper authorisation checks in one of its AJAX actions, allowing unauthenticated users to delete arbitrary appointment records along with their associated booking items and payment records.