CVE-2025-63013

Wtyczka WP Hotel Booking dla WordPressa przed wersją 2.3.2 nie weryfikuje, czy powiadomienie o płatności odpowiada płatności dokonanej na konto sprzedawcy, ani czy zapłacona kwota zgadza się z sumą rezerwacji. Pozwala to nieuwierzytelnionym użytkownikom oznaczać swoje rezerwacje jako w pełni opłacone bez żadnej płatności na rzecz właściciela strony.

Wtyczka WP Hotel Booking dla WordPressa przed wersją 2.3.3 nie zapewnia, że ilości pokoi i wynikająca suma zamówienia są nieujemne podczas składania rezerwacji, i polega na danych koszyka kontrolowanych przez klienta. Pozwala to nieuwierzytelnionym użytkownikom tworzyć potwierdzone rezerwacje za darmo lub po dowolnie obniżonej cenie.

Wtyczka WP Hotel Booking dla WordPressa jest podatna na Stored XSS przez atrybut 'widget_search' shortcode'u z powodu niedostatecznego oczyszczania danych. Atakujący z dostępem na poziomie contributora mogą wstrzykiwać dowolne skrypty, ale exploit działa tylko w przeglądarkach obsługujących klawisze dostępu (access keys).

Wtyczka WP Hotel Booking dla WordPressa jest podatna na odbite ataki Cross-Site Scripting (XSS) poprzez parametr 'check_in_date' we wszystkich wersjach do 2.3.2 włącznie. Podatność wynika z niewystarczającego oczyszczania danych wejściowych i wyjściowych.

Wtyczka WP Hotel Booking dla WordPressa do wersji 2.3.1 włącznie nie weryfikuje poprawnie autentyczności danych w handlerze IPN PayPal. Atakujący może wykorzystać parametr `test_ipn` do przekierowania walidacji na piaskownicę PayPal i wymusić zmianę statusu transakcji z 'oczekującej' na 'zakończoną' bez faktycznej płatności. Brakuje również sprawdzania unikalności `txn_id` oraz poprawności `receiver_email` i `mc_currency` po otrzymaniu odpowiedzi `VERIFIED`.

Wtyczka WP Hotel Booking dla WordPressa jest podatna na odbite ataki Cross-Site Scripting (XSS) poprzez parametry 'check_in_date' i 'check_out_date' we wszystkich wersjach do 2.3.1 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.

Wtyczka WP Hotel Booking (do wersji 2.2.8) jest podatna na Cross-Site Request Forgery (CSRF). Atakujący może nakłonić uwierzytelnionego użytkownika do wykonania niechcianych operacji.

Wtyczka WP Hotel Booking do WordPressa zawiera podatność na atak typu DOM-Based XSS, wynikającą z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony. Podatność dotyczy wersji do 2.2.8 włącznie.