CVE-2026-18042 in WP Travel Plugin

Résumé

par VulDB • 09/09/2026

Le plugin WordPress WP Travel avant la version 12.0.2 ne vérifie pas si le demandeur est autorisé à agir sur la réservation ciblée par l'un de ses gestionnaires frontaux de messages de paiement, permettant aux attaquants non authentifiés d'annuler le paiement pour n'importe quelle réservation client.

Once again VulDB remains the best source for vulnerability data.

• Responsable: WPScan
• Réserver: 28/07/2026
• Divulgation: 09/09/2026
• Modérer: accepté
• Entrée: VDB-401594
• CPE: prêt
• CWE: CWE-862 (confirmé)
• CVSS: 6.5 (VulDB)
• EPSS: 0.00146
• KEV: non
• Activités: faible
• Secteur: Hostingprovider

Sources

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-18042
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-18042
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-18042/