Podatności WP Travel
4 znanych podatności CVE w WP Travel, przetłumaczonych i ocenionych.
- CVE-2026-45218Wysokie
W podatności CVE-2026-45218 występuje niewłaściwa neutralizacja specjalnych elementów używanych w poleceniach SQL, co prowadzi do podatności na atak typu Blind SQL Injection w wtyczce WP Travel. Problem ten dotyczy wersji WP Travel od n/a do 11.4.0.
- CVE-2026-13145Średnie
Wtyczka WP Travel do WordPressa przed wersją 11.8.1 nie weryfikuje, czy żądana rezerwacja w panelu klienta należy do bieżącego użytkownika. Każdy zalogowany użytkownik może odczytać szczegóły rezerwacji innego klienta, w tym adres rozliczeniowy, podając dowolny identyfikator rezerwacji.
- CVE-2026-13143Średnie
Wtyczka WP Travel do WordPressa przed wersją 11.8.1 nie weryfikuje powiadomień PayPal Instant Payment Notification poprzez uzgadnianie z PayPal przed oznaczeniem rezerwacji jako opłaconej. Niezalogowani atakujący mogą sfałszować powiadomienie, które zmienia dowolną oczekującą rezerwację na opłaconą i zarezerwowaną po wybranej przez atakującego cenie.
- CVE-2026-11868Średnie
Wtyczka WP Travel dla WordPressa przed wersją 11.7.1 nie sprawdza uprawnień ani własności podczas anulowania rezerwacji, a akcja ta jest dostępna dla niezalogowanych użytkowników, co pozwala im anulować dowolne rezerwacje na stronie.