CVE-2026-94231
ŚrednieCVSS 5.3Streszczenie
Wtyczka WordPress TrueBooker przed wersją 1.3.0 nie ma kontroli autoryzacji w niektórych funkcjonalnościach. Umożliwia to nieuwierzytelnionym użytkownikom tworzenie i modyfikowanie usług rezerwacji oraz kategorii, w tym ich cen.
Ocena ryzyka
Atakujący może bez uwierzytelnienia tworzyć i modyfikować usługi oraz kategorie, co może prowadzić do nieprawidłowych rezerwacji, strat finansowych lub zakłócenia działania serwisu. Może to również naruszyć integralność danych.
Rekomendacja
Zaktualizuj wtyczkę TrueBooker do wersji 1.3.0 lub nowszej. Do czasu aktualizacji rozważ wyłączenie wtyczki lub ograniczenie dostępu do funkcji rezerwacji.
Inne podatności w TrueBooker WordPress plugin
Zobacz wszystkie- CVE-2026-94230Średnie
Wtyczka WordPress TrueBooker przed wersją 1.3.0 nie ma kontroli autoryzacji w niektórych akcjach AJAX i nie waliduje po stronie serwera ceny usługi. Umożliwia to nieuwierzytelnionym użytkownikom tworzenie rezerwacji po dowolnej cenie i przypisywanie ich do dowolnych kont klientów.
- CVE-2026-94229Średnie
Wtyczka WordPress TrueBooker przed wersją 1.3.0 nie weryfikuje, czy osoba żądająca jest właścicielem rezerwacji, przed wyświetleniem jej podsumowania potwierdzenia. Umożliwia to nieuwierzytelnionym atakującym wyliczanie identyfikatorów rezerwacji i uzyskiwanie danych osobowych klientów, a także unieważnianie linków potwierdzających.
- CVE-2026-94228Średnie
Wtyczka WordPress TrueBooker przed wersją 1.3.0 nie sprawdza uprawnień w jednym z handlerów konfiguracji, a token, który weryfikuje, jest wydawany niezalogowanym odwiedzającym. Pozwala to każdemu nadpisać całą konfigurację wtyczki i usunąć dowolne ustawienia, których nie dostarczy.
Oryginalny opis (angielski, źródło NVD)
The TrueBooker WordPress plugin before 1.3.0 does not have authorisation checks in place in some of its functionality, allowing unauthenticated users to create and modify booking services and categories, including their prices.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS