PT-2026-137869
CVE-2026-121794
·
Publicado
2026-11-05
·
Atualizado
2026-11-06
Descrição por
CVSS 3.1
6.5
MédiaMétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Nome do Software Vulnerável e Versões Afetadas
The Travelly – Tour & Travel Booking Manager for WooCommerce versões anteriores a 2.3.12
Descrição
Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso de contribuidor ou superior podem visualizar credenciais de gateway de pagamento do WooCommerce armazenadas, como nome de usuário, senha e assinatura da API do PayPal, bem como chaves secretas de teste e produção do Stripe. Essas credenciais são injetadas diretamente na resposta HTML da tela de edição de tour e podem ser acessadas por meio da resposta HTTP bruta ao visualizar o código-fonte da página, independentemente do estado de visibilidade do CSS do modal.
Recomendações
Atualize o The Travelly – Tour & Travel Booking Manager for WooCommerce para a versão 2.3.12 ou posterior.
Explorabilidade
Correção
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾