„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-15151 betrifft das WordPress-Plugin „Five Star Restaurant Reservations“ in Versionen vor 2.7.23.
Das Vulnerability ermöglicht es Benutzern mit minimalen Berechtigungen (Booking-Management-Rolle),
die Benachrichtigungsregeln des gesamten Systems zu manipulieren. Dies stellt eine Privilege-Escalation dar,
da betroffene Benutzer standardmäßig keinen Zugriff auf Plugin-Einstellungen haben sollten.
Betroffene Systeme
Das Plugin „Five Star Restaurant Reservations“ in allen Versionen vor 2.7.23 ist anfällig.
Betroffen sind WordPress-Installationen, die dieses Plugin zur Verwaltung von Restaurantreservierungen einsetzen.
Die Vulnerability kann in Multi-User-Umgebungen mit mehreren Booking-Management-Accounts ausgenutzt werden.
Technische Details
Die Schwachstelle liegt in einer AJAX-Action des Plugins, bei der Capability-Checks fehlen.
Angreifer mit Booking-Management-Rolle können einen HTTP-Request an die anfällige AJAX-Funktion senden,
um Benachrichtigungsregeln zurückzusetzen. Der Angriffsvektor ist netzwerkbasiert, erfordert aber bereits einen validen WordPress-Account.
Der CVSS-Score von 7.5 (High) reflektiert das Risiko durch fehlende Zugriffskontrolle.
Ein Angreifer könnte kritische Notification-Einstellungen deaktivieren und so wichtige Reservierungs-Alerts blockieren.
Empfohlene Massnahmen
- Sofortmassnahme: Aktualisieren Sie das Plugin auf Version 2.7.23 oder höher
- Validierung: Prüfen Sie in den Plugin-Logs, ob AJAX-Requests zur anfälligen Funktion stattgefunden haben
- Zugriffskontrolle: Überprüfen Sie, welche Benutzer die Booking-Management-Rolle besitzen
- Monitoring: Implementieren Sie Alerting für Änderungen an Notification-Regeln
Bewertung
Mit einem CVSS-Score von 7.5 (High) und fehlenden Patches sollte diese Vulnerability als kritisch behandelt werden.
Die Tatsache, dass bereits ein valider Account erforderlich ist, reduziert das externe Risiko,
jedoch bleibt das interne Missbrauchspotenzial erheblich. Eine zeitnahe Aktualisierung ist mandatory.
„`