CVE-2026-108123
Təsvir
WordPress üçün olan WP Booking System – Booking Calendar plagini 2.1.0.3 versiyası daxil olmaqla bütün versiyalarda autentifikasiyadan yan keçmə zəifliyinə malikdir. Bu, plagin istifadəçinin müəyyən bir hərəkəti yerinə yetirmək üçün səlahiyyətli olduğunu düzgün şəkildə yoxlamamasından qaynaqlanır. Bu, autentifikasiya olunmamış hücumçulara booking_id və email_log_id parametrlərini dəyişərək hər hansı rezervasiyanın saxlanılmış bildiriş e-poçtu mətnini oxumağa imkan verir ki, bu da yalnız administratorlar üçün görünməli olan adlar, e-poçt ünvanları, telefon nömrələləri, mesajlar və rezervasiya tarixləri kimi müştəri şəxsi məlumatlarının (PII) ifşa olmasına səbəb olur. Bu zəiflik hər hansı Abunəçi (Subscriber) səviyyəli istifadəçi tərəfindən istismar edilə bilər, çünki admin_init funksiyası bütün autentifikasiya olunmuş istifadəçilərin daxil ola bildiyi wp-admin səhifəsi olan profile.php-də işə düşür.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| murgroland WP Booking System – Booking Calendar | v ≤ 2.1.0.3 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.