CVE-2026-15152
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Wtyczka WP Hotel Booking dla WordPressa przed wersją 2.3.2 nie weryfikuje, czy powiadomienie o płatności odpowiada płatności dokonanej na konto sprzedawcy, ani czy zapłacona kwota zgadza się z sumą rezerwacji. Pozwala to nieuwierzytelnionym użytkownikom oznaczać swoje rezerwacje jako w pełni opłacone bez żadnej płatności na rzecz właściciela strony.
Ocena ryzyka
Organizacja może ponosić straty finansowe, ponieważ użytkownicy mogą uzyskać potwierdzone rezerwacje bez dokonania płatności, co wpływa na przychody i integralność systemu rezerwacji.
Rekomendacja
Zaleca się aktualizację wtyczki do wersji 2.3.2 lub nowszej oraz wdrożenie weryfikacji płatności po stronie serwera, w tym zgodności kwoty i odbiorcy.
Inne podatności w WP Hotel Booking
Zobacz wszystkie- CVE-2026-15149Średnie
Wtyczka WP Hotel Booking dla WordPressa przed wersją 2.3.3 nie zapewnia, że ilości pokoi i wynikająca suma zamówienia są nieujemne podczas składania rezerwacji, i polega na danych koszyka kontrolowanych przez klienta. Pozwala to nieuwierzytelnionym użytkownikom tworzyć potwierdzone rezerwacje za darmo lub po dowolnie obniżonej cenie.
- CVE-2026-15464Średnie
Wtyczka WP Hotel Booking dla WordPressa jest podatna na Stored XSS przez atrybut 'widget_search' shortcode'u z powodu niedostatecznego oczyszczania danych. Atakujący z dostępem na poziomie contributora mogą wstrzykiwać dowolne skrypty, ale exploit działa tylko w przeglądarkach obsługujących klawisze dostępu (access keys).
- CVE-2026-15094Średnie
Wtyczka WP Hotel Booking dla WordPressa jest podatna na odbite ataki Cross-Site Scripting (XSS) poprzez parametr 'check_in_date' we wszystkich wersjach do 2.3.2 włącznie. Podatność wynika z niewystarczającego oczyszczania danych wejściowych i wyjściowych.
- CVE-2026-11901Średnie
Wtyczka WP Hotel Booking dla WordPressa do wersji 2.3.1 włącznie nie weryfikuje poprawnie autentyczności danych w handlerze IPN PayPal. Atakujący może wykorzystać parametr `test_ipn` do przekierowania walidacji na piaskownicę PayPal i wymusić zmianę statusu transakcji z 'oczekującej' na 'zakończoną' bez faktycznej płatności. Brakuje również sprawdzania unikalności `txn_id` oraz poprawności `receiver_email` i `mc_currency` po otrzymaniu odpowiedzi `VERIFIED`.
- CVE-2026-11392Średnie
Wtyczka WP Hotel Booking dla WordPressa jest podatna na odbite ataki Cross-Site Scripting (XSS) poprzez parametry 'check_in_date' i 'check_out_date' we wszystkich wersjach do 2.3.1 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.
Oryginalny opis (angielski, źródło NVD)
The WP Hotel Booking WordPress plugin before 2.3.2 does not verify that a payment notification corresponds to a payment made to the site's own merchant account, nor that the paid amount matches the booking total, allowing unauthenticated users to have their bookings marked as fully paid without any payment reaching the site owner.