Le plugin Booking Package pour WordPress jusqu’à la version 1.7.29 permettait à des visiteurs non authentifiés de contourner l’autorisation et d’accéder aux données personnelles des clients ayant réservé, notamment leurs coordonnées et jetons d’annulation. La fiche NVD indique une publication le 2026-10-14 ; aucune version corrigée ni mesure de contournement n’est précisée dans les éléments fournis.
Source : NVD — CVE-2026-103423
Analyse technique
Le nonce exposé dans l’objet JavaScript booking_package sur les pages utilisant le shortcode ou widget est public et ne constitue pas une barrière d’authentification efficace. L’accès non autorisé peut révéler noms, courriels, numéros de téléphone, adresses physiques et jetons d’annulation.
Impact, versions et correctif
Action recommandée
Vérifier l’exposition du plugin et appliquer une version corrigée dès qu’elle est disponible ; aucune version corrigée n’est indiquée dans la source fournie.
Sources
Priorisation DFS : P3 · 1 source(s).