CVE-2026-14349

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.8
EPSS: 0.4%
CWE: CWE-862
KEV Durumu: Hayır

Yayım tarihi: 16 Eylül 2026

TrueBooker – Appointment Booking and Scheduler System eklentisi, WordPress için tüm sürümlerde, 1.2.3 sürümüne kadar dahil olmak üzere, yetkilendirme atlatma zafiyetine açıktır. Bu, eklentinin bir kullanıcıya bir eylem gerçekleştirmeye yetkili olup olmadığını düzgün şekilde doğrulamamasından kaynaklanmaktadır. Bu, kimlik doğrulamayı atlatan saldırganların, yöneticiler de dahil olmak üzere keyfi kullanıcı hesaplarının e-posta adresini değiştirmesine olanak tanır ve bu, hesaba erişimi sağlamak ve parolasını sıfırlamak için kullanılabilir.

Orijinal açıklama (İngilizce)

The TrueBooker – Appointment Booking and Scheduler System plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 1.2.3. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to modify the email address of arbitrary user accounts, including administrators, which can be leveraged to reset the account's password and gain access to it.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.