Problemen uppstår eftersom de sexsiffriga koderna bokningssystem använder för att identifiera resenärer är lätt att gissa.
Två forskare visade på svagheterna genom att ändra en flygbokning och sittuppdrag för en reporter.
Säkerhetsutredarna presenterade sina resultat vid Chaos Communications Kongressen i Tyskland.
I en blogg som beskriver deras arbete Karsten Nohl och Nemanja Nikodijevic av Security Research Labs (SRL) sade datorsystem bakom flygbolagens resebokningar system från 1970- och 1980-talet. Även om dessa har uppdaterats med webbtjänster de saknar säkerhetssystem som skulle förhindra missbruk, sade de.
I synnerhet, de tillade, systemen har inget sätt att kontrollera, eller autentisera, vem som frågar systemet för flyguppgifter.
Få av bokningskontrollsystemen begränsar hur många försök som kan göras för att fråga detaljer.
Dessa brister kan utnyttjas, sade paret, eftersom koderna som används för att identifiera resenärer och deras resvägar använder en begränsad teckenuppsättning. Detta gör det möjligt att bombardera servrar med frågor för att ta reda på en persons detaljer.
"Med bara passagerarnas efternamn, deras bokningar koder kan hittas över internet med lite ansträngning," skrev de.
Denna tillgång skulle låta angripare stjäla personlig information, avleda frekvent flyer fördelar eller använda data för att ge trovärdighet till phishing attacker.
I vissa fall, sade Nohl, skulle att få vid en bokning låta en angripare helt ändra flyginformation potentiellt låta dem resa gratis.
SRL visade hur bristerna kunde utnyttjas genom att arbeta med tyska TV-stationen ARD för att ändra en reporters flyg och sätta honom i en plats bredvid en tysk politiker.
Flygbolag och resebyråer bör agera snabbt för att skydda resenärsdata, uppmanade de två forskarna. Det första steget bör vara att begränsa antalet frågor som kan göras för en viss bokning, sade de.
De allra flesta flygbokningar hanteras av tre företag: Amadeus, Sabre och Travelport.
Bokningsfirman Amadeus sa att det var att "bedöma" forskarnas resultat. Kommissionen tillade att den planerade att "ta itu med" de problem som hade avslöjats och skulle samarbeta med sina partner för att täppa till kryphålen.
Det tillade att det redan hade begränsat antalet frågor som kunde göras om en bokning.
Sabre sa att den hade "många lager" av säkerhetssystem som omger färdvägen.
"Diskussing hur vi upprätthåller säkerhet och integritet resenärer undergräver dessa skyddsåtgärder och säkerheten i våra system," det berättade Reuters nyhetsbyrån.
Resport har ännu inte svarat på SRL:s offentliggörande av informationen.
Airline bokningssystem saknar grundläggande säkerhetskontroller som skulle stoppa angripare ändra flyginformation eller stjäla belöningar, varna experter.