CVE-2026-11601 in WPCafe Plugin
Sumário
de VulDB • 03/10/2026
O plugin WordPress WPCafe – Restaurant Menu, Online Food Ordering & Table Booking System é vulnerável a bypass de autorização em todas as versões até 3.0.19 (incluindo-a). Isso ocorre porque o plugin não verifica corretamente se um usuário está autorizado a realizar uma ação. Isso permite que atacantes não autenticados leiam, criem, atualizem, clonem e excluam fluxos de notificação por email, incluindo a substituição dos emails padrão de confirmação de reserva, cancelamento e alerta administrativo pelo conteúdo controlado pelos atacantes enviado do endereço legítimo do site, ou a destruição total dos fluxos de notificação de reservas. Os endpoints vulneráveis estão ativos por padrão em todas as instalações do WPCafe sem necessidade de configuração adicional, pois o método Email_Automation_Service_Provider::is_enable() retorna true incondicionalmente e o plugin vem com cinco fluxos de email pré-configurados como padrão ao ser ativado.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.