CVE-2026-94229
ŚrednieCVSS 5.3Streszczenie
Wtyczka WordPress TrueBooker przed wersją 1.3.0 nie weryfikuje, czy osoba żądająca jest właścicielem rezerwacji, przed wyświetleniem jej podsumowania potwierdzenia. Umożliwia to nieuwierzytelnionym atakującym wyliczanie identyfikatorów rezerwacji i uzyskiwanie danych osobowych klientów, a także unieważnianie linków potwierdzających.
Ocena ryzyka
Atakujący może bez uwierzytelnienia uzyskać dostęp do danych osobowych klientów i unieważnić ich linki potwierdzające, co stanowi naruszenie prywatności i może prowadzić do dalszych ataków. Może to również zakłócić proces rezerwacji.
Rekomendacja
Zaktualizuj wtyczkę TrueBooker do wersji 1.3.0 lub nowszej. Do czasu aktualizacji rozważ wyłączenie wtyczki lub wdrożenie kontroli dostępu do podsumowań rezerwacji.
Inne podatności w TrueBooker WordPress plugin
Zobacz wszystkie- CVE-2026-94231Średnie
Wtyczka WordPress TrueBooker przed wersją 1.3.0 nie ma kontroli autoryzacji w niektórych funkcjonalnościach. Umożliwia to nieuwierzytelnionym użytkownikom tworzenie i modyfikowanie usług rezerwacji oraz kategorii, w tym ich cen.
- CVE-2026-94230Średnie
Wtyczka WordPress TrueBooker przed wersją 1.3.0 nie ma kontroli autoryzacji w niektórych akcjach AJAX i nie waliduje po stronie serwera ceny usługi. Umożliwia to nieuwierzytelnionym użytkownikom tworzenie rezerwacji po dowolnej cenie i przypisywanie ich do dowolnych kont klientów.
- CVE-2026-94228Średnie
Wtyczka WordPress TrueBooker przed wersją 1.3.0 nie sprawdza uprawnień w jednym z handlerów konfiguracji, a token, który weryfikuje, jest wydawany niezalogowanym odwiedzającym. Pozwala to każdemu nadpisać całą konfigurację wtyczki i usunąć dowolne ustawienia, których nie dostarczy.
Oryginalny opis (angielski, źródło NVD)
The TrueBooker WordPress plugin before 1.3.0 does not verify that the requester owns a booking before rendering its confirmation summary, allowing unauthenticated attackers to enumerate booking identifiers and retrieve the personal information of customers who booked an appointment, as well as invalidate the customer's own confirmation link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS