- Yama var
- Son 7 gün
- CWE-326
CVE-2026-105996
Booking Package eklentisinde tahmin edilebilir jeton ile yetkisiz rezervasyon bilgisi ifşası ve iptali
- Yayımlandı
- Güncellendi
- 21 Eki 2026
- Açık yaşı
- 7 gün
- Kaydı açan
- WPScan
ÖzetTürkçe
Booking Package WordPress eklentisinin 1.7.31 sürümünden önceki sürümleri, rezervasyon iptal jetonlarını güvenli bir rastgelelik kaynağı kullanmadan üretmekte; bunun yerine jetonları herkese açık olarak sunulan değerlerden türetmektedir. Bu nedenle kimlik doğrulaması yapılmamış bir saldırgan, herhangi bir rezervasyonun jetonunu yeniden oluşturabilir, o rezervasyona ait kişisel verileri öğrenebilir ve ziyaretçi iptali etkinleştirilmişse rezervasyonu iptal edebilir.
Kaynaktaki açıklama (İngilizce)
The Booking Package WordPress plugin before 1.7.31 does not generate booking cancellation tokens using a secure source of randomness, deriving them instead from values it exposes publicly, so an unauthenticated attacker can reconstruct an arbitrary booking's token, disclose that booking's personal data and, where visitor cancellation is enabled, cancel the booking.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| Booking Package | < 1.7.31 | 1.7.31 |
Kaynaklar3 kaynak
- CVE.org kaydı
- NVD kaydı
- wpscan.com/…erability/ff7e2703-3949-43bc-a0b5-12ed49e5e396 İstismar kodu ya da analiz
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.