CVE-2026-4290
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka WP Travel Pro dla WordPressa do wersji 10.6.0 włącznie zawiera podatność umożliwiającą nieautoryzowane usuwanie użytkowników. Problem leży w punkcie końcowym REST API /wp-json/wp-travel/v1/travel-guide/{user_id}, gdzie funkcja check_permission() zawsze zwraca true, a metoda Database::delete() przekazuje identyfikator użytkownika bezpośrednio do wp_delete_user() bez walidacji roli.
Ocena ryzyka
Nieuwierzytelniony atakujący może usunąć dowolne konta użytkowników, w tym administratorów, co prowadzi do całkowitej utraty kontroli nad witryną WordPress.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę WP Travel Pro do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, tymczasowo wyłącz wtyczkę lub zablokuj dostęp do punktu końcowego REST API.
Oryginalny opis (angielski, źródło NVD)
The WP Travel Pro plugin for WordPress is vulnerable to arbitrary user deletion via the /wp-json/wp-travel/v1/travel-guide/{user_id} REST API endpoint in all versions up to, and including, 10.6.0. This is due to the check_permission() callback unconditionally returning true and the Database::delete() method passing the user ID directly to wp_delete_user() without any role validation. This makes it possible for unauthenticated attackers to delete arbitrary user accounts, including those of administrators.