Уязвимость Broken Access Control в WordPress-плагине WpTravelly (CVE-2026-111849)
В плагине WpTravelly от компании Magepeople inc., предназначенном для создания систем бронирования туров на WordPress, выявлена уязвимость, получившая идентификатор CVE-2026-111849. Проблема относится к категории Broken Access Control (нарушение контроля доступа) и связана с отсутствием проверки авторизации при выполнении отдельных операций.
Подробности
Уязвимость затрагивает плагин WpTravelly (пакет tour-booking-manager) всех версий до 2.3.5 включительно. Согласно описанию, речь идёт о Missing Authorization — отсутствии проверки прав доступа, что позволяет эксплуатировать некорректно настроенные уровни безопасности контроля доступа. Иными словами, функциональность, которая должна быть доступна только авторизованным пользователям с соответствующими правами, может оказаться доступной без надлежащей проверки.
Уязвимости присвоен уровень критичности CVSS 5.3 (MEDIUM). Проблема классифицируется по CWE как отсутствие авторизации. Точные сценарии эксплуатации в записи CVE не детализируются, однако подобные уязвимости в плагинах бронирования нередко позволяют неавторизованным пользователям получать доступ к административным функциям или изменять данные бронирований.
Что делать
Основная рекомендация — обновить плагин WpTravelly до версии, в которой устранена уязвимость (выше 2.3.5), как только такое обновление станет доступно от производителя. До установки патча целесообразно рассмотреть следующие митигации:
- проверить и ужесточить настройки ролей и прав доступа в WordPress, ограничив функциональность плагина только доверенными пользователями;
- усилить мониторинг журналов доступа к административным и бронировочным разделам сайта;
- при отсутствии необходимости в плагине — временно отключить его;
- использовать WAF или иные средства фильтрации запросов для ограничения подозрительной активности.
Итог: CVE-2026-111849 — умеренно опасная уязвимость нарушения контроля доступа в WpTravelly, которая требует внимания владельцев WordPress-сайтов с установленным плагином. Своевременное обновление и корректная настройка прав пользователей снижают риск эксплуатации.
Источник: CVE Project (cvelistV5)