Risk Letters

Udnyttet sårbarhed

CVE-2026-4290

TLP:CLEAR

Manglende Godkendelse

WP Travel Pro-pluginet til WordPress er sårbar over for vilkårlig brugersletning via REST API-endepunktet /wp-json/wp-travel/v1/travel-guide/{user_id} i alle versioner op til og inklusive 10.6.0. Dette skyldes, at check_permission()-callback'en ubetinget returnerer true, og Database::delete()-metoden videregiver bruger-id'et direkte til wp_delete_user() uden nogen rolle-validering. Dette gør det

Fakta

  • Leverandør: WPTravel
  • Produkt: WP Travel Pro
  • CVSS: 9.1
  • EPSS (sandsynlighed for udnyttelse inden for 30 dage): 0,3 %
  • Første kendte udnyttelse: 13. oktober 2026
  • Første gang set af Risk Letters: 30. maj 2026

Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.

Få hele briefet

Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD