CVE-2026-94230
ŚrednieCVSS 5.3Streszczenie
Wtyczka WordPress TrueBooker przed wersją 1.3.0 nie ma kontroli autoryzacji w niektórych akcjach AJAX i nie waliduje po stronie serwera ceny usługi. Umożliwia to nieuwierzytelnionym użytkownikom tworzenie rezerwacji po dowolnej cenie i przypisywanie ich do dowolnych kont klientów.
Ocena ryzyka
Atakujący może bez uwierzytelnienia tworzyć rezerwacje po zaniżonej cenie i przypisywać je do kont innych klientów, co może prowadzić do strat finansowych i naruszenia prywatności. Może to również zakłócić proces rezerwacji.
Rekomendacja
Zaktualizuj wtyczkę TrueBooker do wersji 1.3.0 lub nowszej. Do czasu aktualizacji rozważ wyłączenie wtyczki lub wdrożenie dodatkowej walidacji po stronie serwera.
Inne podatności w TrueBooker WordPress plugin
Zobacz wszystkie- CVE-2026-94231Średnie
Wtyczka WordPress TrueBooker przed wersją 1.3.0 nie ma kontroli autoryzacji w niektórych funkcjonalnościach. Umożliwia to nieuwierzytelnionym użytkownikom tworzenie i modyfikowanie usług rezerwacji oraz kategorii, w tym ich cen.
- CVE-2026-94229Średnie
Wtyczka WordPress TrueBooker przed wersją 1.3.0 nie weryfikuje, czy osoba żądająca jest właścicielem rezerwacji, przed wyświetleniem jej podsumowania potwierdzenia. Umożliwia to nieuwierzytelnionym atakującym wyliczanie identyfikatorów rezerwacji i uzyskiwanie danych osobowych klientów, a także unieważnianie linków potwierdzających.
- CVE-2026-94228Średnie
Wtyczka WordPress TrueBooker przed wersją 1.3.0 nie sprawdza uprawnień w jednym z handlerów konfiguracji, a token, który weryfikuje, jest wydawany niezalogowanym odwiedzającym. Pozwala to każdemu nadpisać całą konfigurację wtyczki i usunąć dowolne ustawienia, których nie dostarczy.
Oryginalny opis (angielski, źródło NVD)
The TrueBooker WordPress plugin before 1.3.0 does not have authorisation checks in some of its AJAX actions, and does not validate the submitted service price server-side, allowing unauthenticated users to create bookings at a price of their choosing and to attach them to arbitrary customer accounts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS