CVE-2026-16282
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 8 - wyżej niż 8% wszystkich znanych CVE
Streszczenie
Wtyczka Appointment Hour Booking dla WordPressa przed wersją 1.5.88 nie weryfikuje ceny dostarczonej przez klienta z ceną usługi skonfigurowaną po stronie serwera. Nieuwierzytelnieni użytkownicy mogą przesłać dowolną cenę końcową (w tym zero lub ujemną), która jest zapisywana jako wiążąca cena rezerwacji, co uszkadza rekordy rezerwacji i płatności.
Ocena ryzyka
Atakujący może zmienić ceny rezerwacji, co prowadzi do strat finansowych, błędnych raportów i problemów z rozliczeniami. Może również zakłócić integralność danych rezerwacji.
Rekomendacja
Zaktualizuj wtyczkę Appointment Hour Booking do wersji 1.5.88 lub nowszej, która zawiera poprawkę walidacji ceny. Dodatkowo rozważ dodanie dodatkowej walidacji po stronie serwera dla krytycznych operacji.
Oryginalny opis (angielski, źródło NVD)
The Appointment Hour Booking WordPress plugin before 1.5.88 does not validate a client-supplied booking price against the server-side configured service price, allowing unauthenticated users to submit an arbitrary final price (including zero or negative) that is stored as the authoritative booking price, corrupting booking and payment records.