CVE-2025-12788

ŚrednieCVSS 5.3

Opublikowano: 11/11/2025(UTC)Zaktualizowano: 18/10/2026(UTC)Przetłumaczono: 19/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.35%

Percentyl 27 - wyżej niż 27% wszystkich znanych CVE

Streszczenie

Wtyczka Hydra Booking — Appointment Scheduling & Booking Calendar dla WordPress jest podatna na obejście płatności przez nieuwierzytelnionych użytkowników z powodu braku weryfikacji płatności we wszystkich wersjach do 1.1.27 włącznie. Wynika to z akceptowania przez wtyczkę danych potwierdzenia płatności kontrolowanych przez klienta w funkcji tfhb_meeting_paypal_payment_confirmation_callback bez weryfikacji po stronie serwera za pomocą API PayPal. Umożliwia to nieuwierzytelnionym atakującym obejście wymagań płatności i potwierdzenie rezerwacji jako opłaconych bez rzeczywistej transakcji.

Ocena ryzyka

Atakujący mogą dokonywać rezerwacji bez płacenia, co prowadzi do strat finansowych.

Rekomendacja

Zaktualizuj wtyczkę do wersji nowszej niż 1.1.27, która naprawia podatność.

Inne podatności w Hydra Booking — Appointment Scheduling & Booking Calendar

CVE-2026-12433Średnie
Wtyczka Hydra Booking dla WordPressa do wersji 1.2.1 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w endpointcie REST /wp-json/hydra-booking/v1/booking/details/{id}. Funkcja getBookingDetails() sprawdza tylko uprawnienie tfhb_manage_options, ale nie weryfikuje, czy żądana rezerwacja należy do uwierzytelnionego hosta, co pozwala atakującym na dostęp do wrażliwych danych innych hostów.

Oryginalny opis (angielski, źródło NVD)

The Hydra Booking — Appointment Scheduling & Booking Calendar plugin for WordPress is vulnerable to missing payment verification to unauthenticated payment bypass in all versions up to, and including, 1.1.27. This is due to the plugin accepting client-controlled payment confirmation data in the tfhb_meeting_paypal_payment_confirmation_callback function without server-side verification with PayPal's API. This makes it possible for unauthenticated attackers to bypass payment requirements and confirm bookings as paid without any actual payment transaction occurring.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS