CVE-2026-15232
ŚrednieCVSS 5.3Streszczenie
Wtyczka MotoPress Appointment Booking dla WordPressa przed wersją 2.4.8 nie przeprowadza kontroli autoryzacji ani własności podczas obsługi identyfikatora rezerwacji dostarczonego przez użytkownika na nieuwierzytelnionym punkcie końcowym, co pozwala nieuwierzytelnionym atakującym trwale usuwać rezerwacje innych użytkowników. Jest to niepełna poprawka CVE-2026-9180: usuwanie pozostaje osiągalne na stronach korzystających z potwierdzenia płatności, potwierdzone do wersji 2.4.7.
Ocena ryzyka
Ryzyko polega na możliwości trwałego usunięcia rezerwacji innych użytkowników przez nieuwierzytelnionych atakujących, co może prowadzić do zakłócenia działania i utraty danych.
Rekomendacja
Zaleca się aktualizację wtyczki MotoPress Appointment Booking do wersji 2.4.8 lub nowszej, która zawiera pełną poprawkę.
Inne podatności w MotoPress Appointment Booking
Zobacz wszystkie- CVE-2026-9180Średnie
Wtyczka MotoPress Appointment Booking dla WordPress do wersji 2.4.4 zawiera podatność na ominięcie autoryzacji poprzez kontrolowany przez użytkownika klucz. Niezautoryzowani atakujący mogą nadpisać dane klienta (imię, nazwisko, email, telefon, customer_id) w niepotwierdzonych rezerwacjach ofiar, wykorzystując publicznie dostępny endpoint REST.
- CVE-2026-13454Średnie
Wtyczka MotoPress Appointment Booking dla WordPressa jest podatna na ogólne wstrzykiwanie SQL przez parametr 's' we wszystkich wersjach do 2.4.5 włącznie. Podatność wynika z niedostatecznego oczyszczania parametru i braku odpowiedniego przygotowania zapytania SQL, co umożliwia uwierzytelnionym atakującym z dostępem na poziomie niestandardowym i wyższym dołączanie dodatkowych zapytań SQL do istniejących.
Oryginalny opis (angielski, źródło NVD)
The MotoPress Appointment Booking WordPress plugin before 2.4.8 does not perform an authorization or ownership check when handling a user-supplied booking identifier on an unauthenticated endpoint, allowing unauthenticated attackers to permanently delete other users' reservations. This is an incomplete fix of CVE-2026-9180: the deletion remains reachable on sites using payment confirmation, confirmed through version 2.4.7.