CVE-2026-45218
WysokieStreszczenie
W podatności CVE-2026-45218 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do podatności na atak typu Blind SQL Injection w wtyczce WP Travel. Problem ten dotyczy wersji WP Travel od n/a do 11.4.0.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do uzyskania nieautoryzowanego dostępu do danych w bazie danych, co może prowadzić do ujawnienia wrażliwych informacji. Organizacje korzystające z tej wtyczki są narażone na poważne ryzyko związane z bezpieczeństwem danych.
Rekomendacja
Zaleca się aktualizację wtyczki WP Travel do najnowszej wersji, aby usunąć tę podatność. Dodatkowo, warto przeprowadzić audyt bezpieczeństwa aplikacji, aby zminimalizować ryzyko ataków SQL Injection.
Inne podatności w WP Travel
Zobacz wszystkie- CVE-2026-13145Średnie
Wtyczka WP Travel do WordPressa przed wersją 11.8.1 nie weryfikuje, czy żądana rezerwacja w panelu klienta należy do bieżącego użytkownika. Każdy zalogowany użytkownik może odczytać szczegóły rezerwacji innego klienta, w tym adres rozliczeniowy, podając dowolny identyfikator rezerwacji.
- CVE-2026-13143Średnie
Wtyczka WP Travel do WordPressa przed wersją 11.8.1 nie weryfikuje powiadomień PayPal Instant Payment Notification poprzez uzgadnianie z PayPal przed oznaczeniem rezerwacji jako opłaconej. Niezalogowani atakujący mogą sfałszować powiadomienie, które zmienia dowolną oczekującą rezerwację na opłaconą i zarezerwowaną po wybranej przez atakującego cenie.
- CVE-2026-11868Średnie
Wtyczka WP Travel dla WordPressa przed wersją 11.7.1 nie sprawdza uprawnień ani własności podczas anulowania rezerwacji, a akcja ta jest dostępna dla niezalogowanych użytkowników, co pozwala im anulować dowolne rezerwacje na stronie.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in WP Travel WP Travel wp-travel allows Blind SQL Injection.This issue affects WP Travel: from n/a through <= 11.4.0.