CVE-2026-18315

TrueBooker – Appointment Booking and Scheduler System-pluginet til WordPress er sårbart over for Authorization Bypass Through User-Controlled Key, der fører til Account Takeover i alle versioner op til og med 1.2.6. Dette skyldes, at admin_user_create_cus AJAX-behandleren mangler enhver autentificering eller mulighed-kontrol, før den angriber-leverede truebooker_wp_user_id-parameter videresendes direkte til wp_update_user. Dette gør det muligt for uautentificerede angribere at overskrive e-mail-adressen på enhver WordPress-bruger – herunder en administrator – og derefter fuldføre den standard WordPress-flow for glemte adgangskoder for fuldt at overtage den målrettede konto.

Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.

Få hele briefet

Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD