CVE-2026-11868: falha de média gravidade em WP Travel
WP Travel < 11.7.1 - Unauthenticated Arbitrary Booking Cancellation
Publicada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
33Vexday Risk Score
Sem sinal de exploração. Ela tem prova de conceito pública.
ssvc Attendcvss 5.3epss 0.3%
The WP Travel WordPress plugin before 11.7.1 does not perform capability or ownership checks on its booking cancellation action, which is also exposed to unauthenticated users, allowing them to cancel arbitrary bookings on the site.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
Produtos afetados
Unknown · WP TravelPoCs públicas encontradas — 1
cve_referencewpscan.com/vulnerability/a82da13b-ee86-495b-a684-324c1541d7ab/não verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — WP Travel
No mesmo produto, das mais perigosas para as menos.
CVE-2026-18042MEDIUMWP Travel < 12.0.2 - Unauthenticated Arbitrary Booking CancellationEPSS 0.3%CVE-2026-13143MEDIUMWP Travel < 11.8.1 - Unauthenticated Payment Bypass via Forged PayPal IPNEPSS 0.3%CVE-2026-13145MEDIUMWP Travel < 11.8.1 - Subscriber+ Booking PII Disclosure via IDOREPSS 0.3%CVE-2026-13146LOWWP Travel < 12.0.2 - Unauthenticated Booking Payment State Tampering via IDOREPSS 0.2%CVE-2026-13144LOWWP Travel < 12.0.2 - Unauthenticated Arbitrary Booking Payment ResetEPSS 0.2%