Taxi Booking Manager for WooCommerce: Fehlende Autorisierung
Zusammenfassung
Das WordPress-Plugin Taxi Booking Manager for WooCommerce bis und mit Version 2.1.7 verfügt über keine ausreichende Autorisierungsprüfung (CWE-862), wodurch Benutzer auf Funktionen zugreifen können, die ihnen nicht zustehen sollten. Der CVSS-Vektor deutet auf eine Ausnutzung über das Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion hin, mit nur geringer Auswirkung auf die Integrität. Die konkret betroffene Funktion ist in den geprüften Quellen nicht beschrieben, daher kann die tatsächliche Auswirkung grösser sein. Eine Ausnutzung in freier Wildbahn oder ein öffentlicher Proof of Concept sind bisher nicht bekannt.
Betroffen
- Taxi Booking Manager for WooCommerce (WordPress-Plugin) von n/a bis 2.1.7
- Version 2.1.7 ist weiterhin betroffen
Behoben in
- Version 2.2.9 (gemäss CVE-Eintrag und Patchstack)
Umgehung
Unbekannt.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden; OffSeq listet die Schwachstelle als nicht bekanntermassen ausgenutzt
- Kein öffentlicher Proof of Concept gefunden
- CISA SSVC: Ausnutzung none, automatisierbar ja, technische Auswirkung partiell
Unsere Empfehlung
- Plugin so rasch wie möglich auf Version 2.2.9 oder neuer aktualisieren
- Plugin-Version auf jeder WordPress-Installation prüfen, da Version 2.1.7 weiterhin betroffen ist
- Letzte Buchungs- und Bestelldatensätze sowie Benutzerkonten auf unerwartete Änderungen prüfen
- Falls sich ein Update nicht sofort durchführen lässt, den Zugriff auf die Buchungs- und Admin-Endpunkte des Plugins nach Möglichkeit einschränken
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-124261 www.cve.org
- Patchstack advisory: Broken Access Control in Taxi Booking Manager for WooCommerce patchstack.com
- OffSeq Radar: CVE-2026-124261 radar.offseq.com
- VulDB entry 435791 vuldb.com
- WPScan plugin page: ecab-taxi-booking-manager wpscan.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:44.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.