CVE-2026-17087

Nome do Software Vulnerável e Versões Afetadas WP Travel Engine – Tour Booking Plugin – Tour Operator Software versões anteriores a 6.8.5

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes não autenticados podem visualizar detalhes privados de faturamento de reservas, como nome, sobrenome, endereço de e-mail, endereço residencial, cidade e número de telefone do cliente. Isso ocorre quando esses detalhes são renderizados como valores padrão em campos de formulário de checkout ao vincular um booking id arbitrário à sessão do atacante. O endpoint depende de um nonce de frontend emitido via wteL10n global em páginas de viagem, que fornece apenas proteção contra CSRF (Cross-Site Request Forgery) — um mecanismo para evitar que comandos não autorizados sejam transmitidos de um usuário em quem a aplicação web confia — e não restringe o acesso de usuários não autenticados.

Recomendações Atualize o WP Travel Engine – Tour Booking Plugin – Tour Operator Software para a versão 6.8.5 ou posterior.