CVE-2026-94228
ŚrednieCVSS 5.3Streszczenie
Wtyczka WordPress TrueBooker przed wersją 1.3.0 nie sprawdza uprawnień w jednym z handlerów konfiguracji, a token, który weryfikuje, jest wydawany niezalogowanym odwiedzającym. Pozwala to każdemu nadpisać całą konfigurację wtyczki i usunąć dowolne ustawienia, których nie dostarczy.
Ocena ryzyka
Atakujący bez uwierzytelnienia może całkowicie przejąć konfigurację wtyczki, co może prowadzić do dalszej eskalacji lub zakłócenia działania serwisu. Ryzyko dotyczy każdej instalacji z podatną wersją wtyczki.
Rekomendacja
Zaktualizuj wtyczkę TrueBooker do wersji 1.3.0 lub nowszej. Do czasu aktualizacji rozważ wyłączenie wtyczki.
Inne podatności w TrueBooker WordPress plugin
Zobacz wszystkie- CVE-2026-94231Średnie
Wtyczka WordPress TrueBooker przed wersją 1.3.0 nie ma kontroli autoryzacji w niektórych funkcjonalnościach. Umożliwia to nieuwierzytelnionym użytkownikom tworzenie i modyfikowanie usług rezerwacji oraz kategorii, w tym ich cen.
- CVE-2026-94230Średnie
Wtyczka WordPress TrueBooker przed wersją 1.3.0 nie ma kontroli autoryzacji w niektórych akcjach AJAX i nie waliduje po stronie serwera ceny usługi. Umożliwia to nieuwierzytelnionym użytkownikom tworzenie rezerwacji po dowolnej cenie i przypisywanie ich do dowolnych kont klientów.
- CVE-2026-94229Średnie
Wtyczka WordPress TrueBooker przed wersją 1.3.0 nie weryfikuje, czy osoba żądająca jest właścicielem rezerwacji, przed wyświetleniem jej podsumowania potwierdzenia. Umożliwia to nieuwierzytelnionym atakującym wyliczanie identyfikatorów rezerwacji i uzyskiwanie danych osobowych klientów, a także unieważnianie linków potwierdzających.
Oryginalny opis (angielski, źródło NVD)
The TrueBooker WordPress plugin before 1.3.0 does not perform any capability check on one of its setup handlers, and the token it does check is issued to unauthenticated visitors, allowing anyone to overwrite the plugin's entire configuration and to discard any setting they do not supply.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS