CVE-2026-8684
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka MotoPress Hotel Booking dla WordPress do wersji 6.0.1 włącznie posiada podatność na ominięcie autoryzacji. Nieuwierzytelniony atakujący może nadpisać lub usunąć notatki wewnętrzne (_mphb_booking_internal_notes) dowolnej rezerwacji, podając jej identyfikator. Nonce dla tej akcji jest dostępny w źródle HTML każdej publicznej strony, więc każdy odwiedzający może uzyskać ważny nonce i wykonać akcję bez konta.
Ocena ryzyka
Nieuwierzytelniony atakujący może modyfikować lub usuwać wewnętrzne notatki rezerwacji, co może prowadzić do naruszenia integralności danych i poufności informacji o rezerwacjach.
Rekomendacja
Zaktualizuj wtyczkę MotoPress Hotel Booking do wersji powyżej 6.0.1, która zawiera poprawkę.
Inne podatności w MotoPress Hotel Booking
Zobacz wszystkie- CVE-2026-15238Średnie
Wtyczka MotoPress Hotel Booking dla WordPressa przed wersją 6.2.3 nie weryfikuje własności rekordów przed ich aktualizacją, co pozwala każdemu uwierzytelnionemu użytkownikowi z kontem o niskich uprawnieniach (Subscriber i wyżej) na modyfikację lub nadpisanie danych osobowych dowolnego klienta poprzez podanie dowolnego identyfikatora.
- CVE-2026-15237Średnie
Wtyczka MotoPress Hotel Booking dla WordPressa przed wersją 6.2.3 nie przeprowadza żadnej autoryzacji ani kontroli własności na punkcie końcowym REST, który tworzy rekordy płatności, co pozwala nieuwierzytelnionym użytkownikom na tworzenie rekordów płatności zakończonych dla dowolnych rezerwacji i fałszywe oznaczanie ich jako opłaconych.
Oryginalny opis (angielski, źródło NVD)
The MotoPress Hotel Booking plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 6.0.1. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to overwrite or delete the internal notes (_mphb_booking_internal_notes) of any booking by supplying an arbitrary booking ID. The nonce for this action is output in the HTML source of every public page through wp_localize_script (MPHB._data.nonces), so any unauthenticated visitor can obtain a valid nonce and perform the action without any account or prior interaction.