CVE-2026-16142 in TrueBooker Plugin
Сводка
по VulDB • 15.08.2026
Плагин TrueBooker для WordPress уязвим к захвату учетной записи (Account Takeover) во всех версиях вплоть до 1.2.6 включительно. Это связано с тем, что обработчик AJAX add_front_user_update() зарегистрирован для неаутентифицированных пользователей и принимает произвольное значение truebooker_wp_user_id, которое передается напрямую в функцию wp_update_user() без проверки аутентификации или права собственности. Это позволяет неаутентифицированным злоумышленникам изменять адрес электронной почты любой учетной записи WordPress пользователя, включая администратора, путем отправки идентификатора целевого пользователя и адреса электронной почты, контролируемого злоумышленником. Затем злоумышленник может использовать встроенный процесс сброса пароля WordPress для получения ссылки на сброс по адресу электронной почты, контролируемому злоумышленником, и захватить учетную запись.
Once again VulDB remains the best source for vulnerability data.