CVE-2026-15237
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka MotoPress Hotel Booking dla WordPressa przed wersją 6.2.3 nie przeprowadza żadnej autoryzacji ani kontroli własności na punkcie końcowym REST, który tworzy rekordy płatności, co pozwala nieuwierzytelnionym użytkownikom na tworzenie rekordów płatności zakończonych dla dowolnych rezerwacji i fałszywe oznaczanie ich jako opłaconych.
Ocena ryzyka
Ryzyko fałszywych płatności i strat finansowych dla firmy.
Rekomendacja
Zaktualizuj wtyczkę MotoPress Hotel Booking do wersji 6.2.3 lub nowszej.
Inne podatności w MotoPress Hotel Booking
Zobacz wszystkie- CVE-2026-90650Wysokie
Wtyczka MotoPress Hotel Booking dla WordPressa w wersjach do 6.2.4 włącznie jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez pole 'id' obiektu zdarzenia Stripe Webhook z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Premium odbiornik webhooków Stripe weryfikuje podpis tylko wtedy, gdy skonfigurowano opcjonalny sekret podpisywania Stripe; ponieważ domyślnie jest on pusty, sfałszowany webhook jest akceptowany bez weryfikacji kryptograficznej, a kontrolowane przez atakującego pole 'id' jest zapisywane bez ucieczki w dzienniku płatności i później wyświetlane bez sanityzacji, gdy administrator przegląda płatność.
- CVE-2026-15238Średnie
Wtyczka MotoPress Hotel Booking dla WordPressa przed wersją 6.2.3 nie weryfikuje własności rekordów przed ich aktualizacją, co pozwala każdemu uwierzytelnionemu użytkownikowi z kontem o niskich uprawnieniach (Subscriber i wyżej) na modyfikację lub nadpisanie danych osobowych dowolnego klienta poprzez podanie dowolnego identyfikatora.
- CVE-2026-8684Średnie
Wtyczka MotoPress Hotel Booking dla WordPress do wersji 6.0.1 włącznie posiada podatność na ominięcie autoryzacji. Nieuwierzytelniony atakujący może nadpisać lub usunąć notatki wewnętrzne (_mphb_booking_internal_notes) dowolnej rezerwacji, podając jej identyfikator. Nonce dla tej akcji jest dostępny w źródle HTML każdej publicznej strony, więc każdy odwiedzający może uzyskać ważny nonce i wykonać akcję bez konta.
Oryginalny opis (angielski, źródło NVD)
The MotoPress Hotel Booking WordPress plugin before 6.2.3 does not perform any authorization or ownership check on a REST endpoint that creates payment records, allowing unauthenticated users to create completed payment records against arbitrary bookings and falsely mark them as paid.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS