CVE-2026-9231
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 46 - wyżej niż 46% wszystkich znanych CVE
Streszczenie
Wtyczka WP Travel Engine – Tour Booking Plugin – Tour Operator Software dla WordPress jest podatna na lokalne włączenie plików (Local File Inclusion) we wszystkich wersjach do 6.8.0 włącznie, poprzez funkcję wte_get_template. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu współpracownika i wyższym włączenie i wykonanie dowolnych plików .php na serwerze.
Ocena ryzyka
Atakujący może obejść kontrolę dostępu, uzyskać dostęp do poufnych danych lub wykonać dowolny kod PHP, co może prowadzić do pełnego przejęcia serwera.
Rekomendacja
Zaktualizuj wtyczkę WP Travel Engine do wersji nowszej niż 6.8.0.
Inne podatności w WP Travel Engine
Zobacz wszystkie- CVE-2026-49770Krytyczne
W WP Travel Engine w wersjach do 6.7.12 występuje podatność na nieautoryzowaną iniekcję obiektów PHP.
- CVE-2026-17087Wysokie
Wtyczka WP Travel Engine dla WordPressa do wersji 6.8.4 włącznie jest podatna na obejście autoryzacji, co pozwala nieuwierzytelnionym atakującym na podgląd prywatnych danych rozliczeniowych rezerwacji, takich jak imię, nazwisko, adres e-mail, adres, miasto i numer telefonu klienta, poprzez powiązanie dowolnego ID rezerwacji z sesją atakującego.
- CVE-2026-16737Średnie
Wtyczka WP Travel Engine przed wersją 6.8.5 nie przeprowadza kontroli autoryzacji ani własności podczas ładowania identyfikatora rezerwacji dostarczonego przez wywołującego w jednej z nieuwierzytelnionych akcji koszyka. Pozwala to nieuwierzytelnionym atakującym na ujawnienie szczegółów zamówienia i danych rozliczeniowych dowolnego klienta oraz na nadpisanie rekordu rezerwacji własnymi danymi.
- CVE-2026-12501Średnie
Wtyczka WP Travel Engine dla WordPressa przed wersją 6.8.2 nie weryfikuje, czy przychodzące powiadomienie o płatności PayPal zostało wysłane na skonfigurowane konto sprzedawcy, ani czy zapłacona kwota zgadza się z sumą zamówienia, przed oznaczeniem rezerwacji jako opłaconej. Umożliwia to nieuwierzytelnionym atakującym oznaczanie rezerwacji jako w pełni opłaconych przy użyciu płatności tokenem dokonanej na konto kontrolowane przez atakującego.
- CVE-2026-12500Wysokie
Wtyczka WP Travel Engine do WordPressa przed wersją 6.8.2 nie sprawdza uprawnień w akcji AJAX aktualizującej opcję wtyczki. Niezalogowani użytkownicy mogą nadpisać ogólnowitrynę opcję WP Travel Engine (publiczny nonce jest udostępniany anonimowym odwiedzającym).
- CVE-2026-10834Średnie
Wtyczka WP Travel Engine dla WordPressa przed wersją 6.8.1 nieprawidłowo weryfikuje źródło ścieżki obrazu profilowego dostarczonego przez użytkownika przed przeniesieniem pliku. Umożliwia to uwierzytelnionym użytkownikom z dostępem na poziomie subskrybenta i wyższym przenoszenie dowolnych plików w katalogu uploads WordPressa do własnej ścieżki obrazu profilowego.
- CVE-2026-49078Wysokie
W WP Travel Engine w wersjach do 6.7.10 występuje nieautoryzowany typ podatności, który może być wykorzystany przez atakujących.
- CVE-2026-2437Średnie
Podatność na przechowywany XSS w pluginie WP Travel Engine dla WordPress (wersje do 6.7.5). Brak odpowiedniego oczyszczania i kodowania atrybutów w shortcode'ie 'wte_trip_tax' umożliwia uwierzytelnionym atakującym (od poziomu contributor) wstrzyknięcie złośliwego JavaScript.
Oryginalny opis (angielski, źródło NVD)
The WP Travel Engine – Tour Booking Plugin – Tour Operator Software plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 6.8.0 via the wte_get_template function. This makes it possible for authenticated attackers, with contributor-level access and above, to include and execute arbitrary .php files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where .php file types can be uploaded and included.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS