CVE-2026-11601 in WPCafe Plugin
要約
〜によって VulDB • 2026年10月03日
WordPress用プラグイン「WPCafe – Restaurant Menu, Online Food Ordering & Table Booking System」には、バージョン3.0.19以前すべての版において認可回避の脆弱性が存在します。これは、ユーザーがアクションを実行する権限を持っているかどうかをプラグインが適切に検証していないためです。これにより、認証されていない攻撃者は電子メール通知フローを読み取り、作成し、更新し、複製し、削除することが可能になります。具体的には、サイトからの送信元アドレスは正当なものであるものの、攻撃者が制御するコンテンツでデフォルトの予約確認メール、キャンセルメール、および管理者アラートメールを上書きしたり、完全に予約通知フローを破壊したりすることができます。脆弱性の影響を受けるエンドポイントは、Email_Automation_Service_Provider::is_enable() メソッドが無条件に true を返すため、WPCafe のインストール時に設定不要でデフォルトで有効化されており、プラグインはアクティブ化時に5つの事前に構成されたデフォルトの電子メールフローを同梱しています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.