CVE-2026-14349: Luka w wtyczce TrueBooker dla WordPress umożliwiająca obejście autoryzacji

Co wiadomo

Wtyczka TrueBooker do WordPressa (wersje do 1.2.3 włącznie) posiada krytyczną lukę pozwalającą nieautoryzowanym atakującym na zmianę adresu e-mail dowolnego użytkownika, w tym administratorów. Luka wynika z braku odpowiedniej weryfikacji uprawnień użytkownika podczas wykonywania akcji.

Wpływ biznesowy

Eksploatacja tej luki umożliwia przejęcie kont administracyjnych poprzez reset hasła, co może prowadzić do pełnej kompromitacji serwisu opartego na WordPress. Atakujący mogą modyfikować dane użytkowników bez uwierzytelnienia, co stwarza poważne ryzyko dla integralności i poufności danych oraz ciągłości działania systemu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki TrueBooker i ich wdrożenie. W przypadku braku łatki, ogranicz ekspozycję wtyczki, monitoruj logi pod kątem podejrzanych działań oraz rozważ tymczasowe wyłączenie wtyczki. Weryfikuj wersje komponentów w DataHouse, korzystaj z zarządzanego patchowania i monitoruj sieć pod kątem nieautoryzowanych prób dostępu.

Źródła

• NVD
• Reference
• Reference