漏洞速览
- 漏洞编号：
CVE-2026-17087 - 风险评分：
7.5（高危） - 首次披露：2026-08-15
- 最近更新：2026-08-15
- 软件类型：插件
- 软件标识：
wp-travel-engine - 受影响版本：<= 6.8.4
- 修复版本：6.8.5
- 是否已修复：是
漏洞详情
WP Travel Engine（Tour Booking Plugin – Tour Operator Software）插件存在授权绕过漏洞，影响直至 6.8.4 的所有版本。该漏洞源于插件未正确验证用户是否有权执行某项操作，导致未认证的攻击者可通过将任意预订 ID 绑定到自己的会话，从而查看受害客户的私人预订账单信息（包括姓名、电子邮件、街道地址、城市和电话号码），这些信息以默认值的的形式渲染在结账表单字段中。该接口的唯一访问控制是一个前端 nonce，该 nonce 通过 trip 页面上的 wteL10n 全局对象向所有访问者公开，因此仅提供 CSRF 保护，无法限制未认证用户的访问。
影响与风险
- 漏洞类型：Missing Authorization to Unauthenticated Sensitive Information Disclosure via 'booking_id' Parameter
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：Supakiad S. (m3ez) – E-CQURITY (Thailand)
修复建议
- 按官方建议执行修复：更新至 6.8.5 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
