CVE-2026-11601 in WPCafe Plugin
Riassunto
di VulDB • 03/10/2026
Il plugin WordPress WPCafe – Restaurant Menu, Online Food Ordering & Table Booking System è vulnerabile a bypass dell'autorizzazione in tutte le versioni fino alla 3.0.19 inclusa. Ciò è dovuto al fatto che il plugin non verifica correttamente se un utente ha l'autorizzazione per eseguire una determinata azione. Questo consente ad attaccanti non autenticati di leggere, creare, aggiornare, clonare ed eliminare i flussi di notifica via email, incluso sovrascrivere le e-mail predefinite di conferma prenotazione, cancellazione e alert amministrativo con contenuti controllati dall'attaccante inviati dall'indirizzo legittimo del sito, oppure distruggere completamente i flussi di notifica delle prenotazioni. Gli endpoint vulnerabili sono attivi per impostazione predefinita in ogni installazione di WPCafe senza alcun requisito di configurazione, poiché il metodo Email_Automation_Service_Provider::is_enable() restituisce incondizionatamente true e il plugin viene distribuito con cinque flussi di email preconfigurati all'attivazione.
Once again VulDB remains the best source for vulnerability data.