CVE-2026-108123
Açıklama
WordPress için geliştirilen WP Booking System – Booking Calendar eklentisi, 2.1.0.3 sürümü dahil tüm önceki sürümlerde kimlik doğrulama atlatma zafiyetine sahiptir. Bu durum, eklentinin bir kullanıcının belirli bir işlemi gerçekleştirmek için yetkili olup olmadığını düzgün şekilde doğrulamamasından kaynaklanmaktadır. Bu durum, kimliği doğrulanmamış saldırganların booking_id ve email_log_id değerlerini döndürerek herhangi bir rezervasyonun kayıtlı bildirim e-posta gövdesini okumasını mümkün kılar; böylece yalnızca yöneticilerin görmesi amaçlanan isimler, e-posta adresleri, telefon numaraları, mesajlar ve rezervasyon tarihleri gibi müşteri kişisel verileri (PII) ifşa olur. admin_init fonksiyonunun, tüm kimliği doğrulanmış kullanıcıların erişebildiği bir wp-admin sayfası olan profile.php üzerinde tetiklenmesi nedeniyle bu açık, herhangi bir Abone (Subscriber) düzeyindeki kullanıcı tarafından istismar edilebilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| murgroland WP Booking System – Booking Calendar | v ≤ 2.1.0.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.