CVE-2026-11601 in WPCafe Plugin
Tóm tắt
Bởi VulDB • 03/10/2026
Plugin WPCafe – Restaurant Menu, Online Food Ordering & Table Booking System cho WordPress bị lỗ hổng bỏ qua xác thực (authorization bypass) trong tất cả các phiên bản từ 3.0.19 trở về trước. Lỗ hổng này xảy ra do plugin không kiểm tra đúng cách người dùng có được ủy quyền để thực hiện một hành động hay không. Điều này tạo điều kiện cho những kẻ tấn công chưa qua xác thực (unauthenticated) đọc, tạo, cập nhật, sao chép và xóa các luồng thông báo email, bao gồm việc ghi đè lên các email mặc định về xác nhận đặt bàn, hủy bỏ và cảnh báo quản trị viên bằng nội dung do kẻ tấn công kiểm soát được gửi từ địa chỉ hợp lệ của trang web, hoặc hoàn toàn phá hủy các luồng thông báo đặt bàn. Các điểm cuối (endpoints) bị ảnh hưởng đang hoạt động theo mặc định trên mọi cài đặt WPCafe mà không yêu cầu cấu hình nào, vì phương thức Email_Automation_Service_Provider::is_enable() luôn trả về true và plugin được cung cấp sẵn với năm luồng email mặc định đã được cấu hình khi kích hoạt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.