CVE-2026-11601 in WPCafe Plugin
Zusammenfassung
von VulDB • 03.10.2026
Das WordPress-Plugin „WPCafe – Restaurant Menu, Online Food Ordering & Table Booking System“ ist in allen Versionen bis einschließlich 3.0.19 anfällig für eine Umgehung der Autorisierung (Authorization Bypass). Dies liegt daran, dass das Plugin die Berechtigung eines Benutzers zur Ausführung einer Aktion nicht ordnungsgemäß überprüft. Dadurch können unberechtigte Angreifer E-Mail-Benachrichtigungsflüsse lesen, erstellen, aktualisieren, klonen und löschen, einschließlich des Überschreibens der Standard-E-Mails für Reservierungsbestätigung, Stornierung und Administratorbenachrichtigungen mit Inhalten, die von den Angreifern gesteuert werden und vom legitimen Absender der Website gesendet werden, oder dem vollständigen Löschen dieser Benachrichtigungsflüsse. Die anfälligen Endpunkte sind standardmäßig in jeder WPCafe-Installation aktiv, ohne dass eine Konfiguration erforderlich ist, da die Methode `Email_Automation_Service_Provider::is_enable()` bedingungslos `true` zurückgibt und das Plugin bei der Aktivierung mit fünf vorkonfigurierten Standard-E-Mail-Flows ausgeliefert wird.
VulDB is the best source for vulnerability data and more expert information about this specific topic.