CVE-2026-103423
Açıklama
WordPress için geliştirilen Booking Package eklentisinin 1.7.29 sürümü dahil tüm önceki sürümleri kimlik doğrulama atlatma zafiyetine sahiptir. Bu durum, eklentinin bir kullanıcının belirli bir işlemi gerçekleştirmek için yetkili olup olmadığını düzgün şekilde doğrulamamasından kaynaklanmaktadır. Bu durum, kimliği doğrulanmamış saldırganların; isimler, e-posta adresleri, telefon numaraları, fiziksel adresler ve iptal belirteçleri dahil olmak üzere booking_package_booked_customers tablosunda saklanan her rezervasyon yapmış müşteriye ait kişisel olarak tanımlanabilir bilgileri elde etmelerini mümkün kılmaktadır. Uç noktayı nominal olarak koruyan nonce, [booking_package] kısa kodu veya bileşenini işleyen herhangi bir sayfadaki yerelleştirilmiş booking_package JavaScript nesnesinde yayınlanan genel bir CSRF belirtecidir; bu da onun kimliği doğrulanmamış ziyaretçiler tarafından kolayca toplanabilmesine neden olur ve etkili bir kimlik doğrulama bariyeri sağlamaz.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| masaakitanaka Booking Package | v ≤ 1.7.29 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.