CVE-2026-11901
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka WP Hotel Booking dla WordPressa do wersji 2.3.1 włącznie nie weryfikuje poprawnie autentyczności danych w handlerze IPN PayPal. Atakujący może wykorzystać parametr `test_ipn` do przekierowania walidacji na piaskownicę PayPal i wymusić zmianę statusu transakcji z 'oczekującej' na 'zakończoną' bez faktycznej płatności. Brakuje również sprawdzania unikalności `txn_id` oraz poprawności `receiver_email` i `mc_currency` po otrzymaniu odpowiedzi `VERIFIED`.
Ocena ryzyka
Ryzyko polega na możliwości fałszowania płatności za rezerwacje hotelowe bez ponoszenia kosztów. Nieuwierzytelniony atakujący może oznaczyć dowolne rezerwacje jako opłacone, co prowadzi do strat finansowych i naruszenia integralności systemu rezerwacji.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę WP Hotel Booking do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, tymczasowo wyłącz funkcję IPN PayPal lub zaimplementuj własne mechanizmy weryfikacji poprawności płatności.
Inne podatności w WP Hotel Booking
Zobacz wszystkie- CVE-2026-15152Średnie
Wtyczka WP Hotel Booking dla WordPressa przed wersją 2.3.2 nie weryfikuje, czy powiadomienie o płatności odpowiada płatności dokonanej na konto sprzedawcy, ani czy zapłacona kwota zgadza się z sumą rezerwacji. Pozwala to nieuwierzytelnionym użytkownikom oznaczać swoje rezerwacje jako w pełni opłacone bez żadnej płatności na rzecz właściciela strony.
- CVE-2026-15149Średnie
Wtyczka WP Hotel Booking dla WordPressa przed wersją 2.3.3 nie zapewnia, że ilości pokoi i wynikająca suma zamówienia są nieujemne podczas składania rezerwacji, i polega na danych koszyka kontrolowanych przez klienta. Pozwala to nieuwierzytelnionym użytkownikom tworzyć potwierdzone rezerwacje za darmo lub po dowolnie obniżonej cenie.
- CVE-2026-15464Średnie
Wtyczka WP Hotel Booking dla WordPressa jest podatna na Stored XSS przez atrybut 'widget_search' shortcode'u z powodu niedostatecznego oczyszczania danych. Atakujący z dostępem na poziomie contributora mogą wstrzykiwać dowolne skrypty, ale exploit działa tylko w przeglądarkach obsługujących klawisze dostępu (access keys).
- CVE-2026-15094Średnie
Wtyczka WP Hotel Booking dla WordPressa jest podatna na odbite ataki Cross-Site Scripting (XSS) poprzez parametr 'check_in_date' we wszystkich wersjach do 2.3.2 włącznie. Podatność wynika z niewystarczającego oczyszczania danych wejściowych i wyjściowych.
- CVE-2026-11392Średnie
Wtyczka WP Hotel Booking dla WordPressa jest podatna na odbite ataki Cross-Site Scripting (XSS) poprzez parametry 'check_in_date' i 'check_out_date' we wszystkich wersjach do 2.3.1 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.
Oryginalny opis (angielski, źródło NVD)
The WP Hotel Booking plugin for WordPress is vulnerable to Insufficient Verification of Data Authenticity in all versions up to, and including, 2.3.1. This is due to the `web_hook_process_paypal_standard()` IPN handler selecting its PayPal validation endpoint from the attacker-controlled `$_REQUEST['test_ipn']` parameter, force-upgrading any `pending` transaction to `completed` when `test_ipn=1`, and omitting post-verification checks on `receiver_email`, `mc_currency`, and `txn_id` uniqueness after receiving a `VERIFIED` response from PayPal. This makes it possible for unauthenticated attackers to mark arbitrary hotel bookings as fully paid without submitting genuine payment to the merchant — either by routing IPN validation through PayPal's sandbox using a free sandbox account, or by replaying a previously verified IPN from a nominal payment to an attacker-controlled PayPal account. An attacker requires only a free PayPal sandbox account (or any PayPal account) to obtain a `VERIFIED` response; no site credentials or special configuration are needed.