CVE-2026-12433

ŚrednieCVSS 4.3

Opublikowano: 09/07/2026(UTC)Zaktualizowano: 09/07/2026(UTC)Przetłumaczono: 10/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.44%

Percentyl 35 - wyżej niż 35% wszystkich znanych CVE

Streszczenie

Wtyczka Hydra Booking dla WordPressa do wersji 1.2.1 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w endpointcie REST /wp-json/hydra-booking/v1/booking/details/{id}. Funkcja getBookingDetails() sprawdza tylko uprawnienie tfhb_manage_options, ale nie weryfikuje, czy żądana rezerwacja należy do uwierzytelnionego hosta, co pozwala atakującym na dostęp do wrażliwych danych innych hostów.

Ocena ryzyka

Uwierzytelnieni atakujący z poziomem dostępu Hydra Host (lub wyższym) mogą odczytać poufne dane rezerwacji innych hostów, w tym nazwiska uczestników, adresy e-mail, numery telefonów, adresy, szczegóły spotkań, metodę płatności, historię transakcji i notatki wewnętrzne, co narusza prywatność i poufność danych.

Rekomendacja

Należy natychmiast zaktualizować wtyczkę Hydra Booking do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest możliwa, tymczasowo ogranicz dostęp do endpointu REST dla nieuprawnionych użytkowników.

Inne podatności w Hydra Booking – Appointment Scheduling & Booking Calendar

CVE-2025-12788Średnie
Wtyczka Hydra Booking — Appointment Scheduling & Booking Calendar dla WordPress jest podatna na obejście płatności przez nieuwierzytelnionych użytkowników z powodu braku weryfikacji płatności we wszystkich wersjach do 1.1.27 włącznie. Wynika to z akceptowania przez wtyczkę danych potwierdzenia płatności kontrolowanych przez klienta w funkcji tfhb_meeting_paypal_payment_confirmation_callback bez weryfikacji po stronie serwera za pomocą API PayPal. Umożliwia to nieuwierzytelnionym atakującym obejście wymagań płatności i potwierdzenie rezerwacji jako opłaconych bez rzeczywistej transakcji.

Oryginalny opis (angielski, źródło NVD)

The Hydra Booking – Appointment Scheduling & Booking Calendar plugin for WordPress is vulnerable to Insecure Direct Object Reference in versions up to, and including, 1.2.1 via the /wp-json/hydra-booking/v1/booking/details/{id} REST endpoint. This is due to the getBookingDetails() callback only enforcing the tfhb_manage_options capability via tfhb_manage_options_permission(), without verifying that the requested booking belongs to the currently authenticated host (the lookup in getBookingDetailsData() filters solely on the booking id supplied in the URL). This makes it possible for authenticated attackers, with Hydra Host-level access and above (a role created by the plugin which grants tfhb_manage_options), to view sensitive booking records belonging to other hosts, including attendee names, emails, phone numbers, addresses, meeting details, payment method and status, transaction history, and internal notes by iterating booking IDs.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS