CVE-2026-13328
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka Food Menu dla WordPressa przed wersją 6.0.2 nie sprawdza uprawnień ani własności w akcji aktualizacji statusu rezerwacji. Akcja jest dostępna dla niezalogowanych użytkowników i zabezpieczona jedynie nonce, które jest publicznie dostępne dla odwiedzających, co pozwala atakującym na zmianę statusu dowolnych rezerwacji.
Ocena ryzyka
Ryzyko polega na możliwości manipulowania rezerwacjami przez nieautoryzowane osoby, co może prowadzić do zakłócenia działania restauracji, utraty zaufania klientów i problemów operacyjnych.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Food Menu do wersji 6.0.2 lub nowszej, która zawiera poprawkę zabezpieczającą. Dodatkowo warto ograniczyć dostęp do panelu administracyjnego i monitorować logi pod kątem nieautoryzowanych zmian.
Oryginalny opis (angielski, źródło NVD)
The Food Menu WordPress plugin before 6.0.2 does not perform any capability or ownership check on its reservation-status update action, which is also exposed to unauthenticated users and gated only by a nonce that is publicly available to visitors, allowing unauthenticated attackers to change the status of arbitrary reservations.