CVE-2026-87840

ŚrednieCVSS 5.3

Opublikowano: 20/09/2026(UTC)Zaktualizowano: 21/09/2026(UTC)Przetłumaczono: 20/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.18%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Wtyczka Tripzzy dla WordPressa w wersji przed 1.5.1 nie wykonuje żadnych kontroli uprawnień ani własności w swoich administracyjnych akcjach zarządzania rezerwacjami. Akcje te są dodatkowo dostępne dla nieuwierzytelnionych użytkowników i chronione jedynie tokenem, który wtyczka wydaje każdemu anonimowemu odwiedzającemu na żądanie. Umożliwia to nieuwierzytelnionym atakującym zmianę zawartości, zapisanych sum i notatek dowolnych rezerwacji.

Ocena ryzyka

Nieuwierzytelniony atakujący może modyfikować dowolne rezerwacje, w tym ich zawartość, sumy i notatki, co prowadzi do naruszenia integralności danych i potencjalnych strat finansowych. Stanowi to poważne zagrożenie dla operacji biznesowych opartych na rezerwacjach.

Rekomendacja

Zaktualizować wtyczkę Tripzzy do wersji 1.5.1 lub nowszej. Do czasu aktualizacji rozważyć wyłączenie wtyczki lub ograniczenie dostępu do jej punktów końcowych.

Inne podatności w Tripzzy WordPress plugin

CVE-2026-87839Wysokie
Wtyczka Tripzzy dla WordPressa w wersji przed 1.5.1 nie posiada kontroli autoryzacji i nie waliduje identyfikatora usuwanego obiektu w akcji AJAX dostępnej dla nieuwierzytelnionych użytkowników. Umożliwia to im trwałe usunięcie dowolnych komentarzy w witrynie.

Oryginalny opis (angielski, źródło NVD)

The Tripzzy WordPress plugin before 1.5.1 does not perform any capability or ownership checks on its administrative booking-management actions, which are additionally exposed to unauthenticated users and gated only by a token the Tripzzy WordPress plugin before 1.5.1 issues to any anonymous visitor on request, allowing unauthenticated attackers to alter the contents, stored totals and notes of arbitrary bookings.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS