CVE-2026-87839

WysokieCVSS 7.5

Opublikowano: 20/09/2026(UTC)Zaktualizowano: 21/09/2026(UTC)Przetłumaczono: 20/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 11 - wyżej niż 11% wszystkich znanych CVE

Streszczenie

Wtyczka Tripzzy dla WordPressa w wersji przed 1.5.1 nie posiada kontroli autoryzacji i nie waliduje identyfikatora usuwanego obiektu w akcji AJAX dostępnej dla nieuwierzytelnionych użytkowników. Umożliwia to im trwałe usunięcie dowolnych komentarzy w witrynie.

Ocena ryzyka

Nieuwierzytelniony atakujący może trwale usuwać dowolne komentarze, co prowadzi do utraty danych i możliwej manipulacji treścią witryny. Stanowi to zagrożenie dla integralności danych i reputacji witryny.

Rekomendacja

Zaktualizować wtyczkę Tripzzy do wersji 1.5.1 lub nowszej. Do czasu aktualizacji rozważyć wyłączenie wtyczki lub ograniczenie dostępu do jej punktów końcowych AJAX.

Inne podatności w Tripzzy WordPress plugin

CVE-2026-87840Średnie
Wtyczka Tripzzy dla WordPressa w wersji przed 1.5.1 nie wykonuje żadnych kontroli uprawnień ani własności w swoich administracyjnych akcjach zarządzania rezerwacjami. Akcje te są dodatkowo dostępne dla nieuwierzytelnionych użytkowników i chronione jedynie tokenem, który wtyczka wydaje każdemu anonimowemu odwiedzającemu na żądanie. Umożliwia to nieuwierzytelnionym atakującym zmianę zawartości, zapisanych sum i notatek dowolnych rezerwacji.

Oryginalny opis (angielski, źródło NVD)

The Tripzzy WordPress plugin before 1.5.1 does not have authorisation checks, and does not validate the identifier of the object being removed, in an AJAX action available to unauthenticated users, allowing them to permanently delete arbitrary comments on the site.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS