CVE-2026-90650
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka MotoPress Hotel Booking dla WordPressa w wersjach do 6.2.4 włącznie jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez pole 'id' obiektu zdarzenia Stripe Webhook z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Premium odbiornik webhooków Stripe weryfikuje podpis tylko wtedy, gdy skonfigurowano opcjonalny sekret podpisywania Stripe; ponieważ domyślnie jest on pusty, sfałszowany webhook jest akceptowany bez weryfikacji kryptograficznej, a kontrolowane przez atakującego pole 'id' jest zapisywane bez ucieczki w dzienniku płatności i później wyświetlane bez sanityzacji, gdy administrator przegląda płatność.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, gdy użytkownik je odwiedzi. Atakujący musi znać prawidłowy identyfikator Stripe PaymentIntent istniejącej płatności, aby skierować sfałszowany webhook do rekordu płatności.
Rekomendacja
Zaktualizuj wtyczkę MotoPress Hotel Booking do wersji nowszej niż 6.2.4. Skonfiguruj sekret podpisywania Stripe, aby wymusić weryfikację kryptograficzną webhooków.
Inne podatności w MotoPress Hotel Booking
Zobacz wszystkie- CVE-2026-15238Średnie
Wtyczka MotoPress Hotel Booking dla WordPressa przed wersją 6.2.3 nie weryfikuje własności rekordów przed ich aktualizacją, co pozwala każdemu uwierzytelnionemu użytkownikowi z kontem o niskich uprawnieniach (Subscriber i wyżej) na modyfikację lub nadpisanie danych osobowych dowolnego klienta poprzez podanie dowolnego identyfikatora.
- CVE-2026-15237Średnie
Wtyczka MotoPress Hotel Booking dla WordPressa przed wersją 6.2.3 nie przeprowadza żadnej autoryzacji ani kontroli własności na punkcie końcowym REST, który tworzy rekordy płatności, co pozwala nieuwierzytelnionym użytkownikom na tworzenie rekordów płatności zakończonych dla dowolnych rezerwacji i fałszywe oznaczanie ich jako opłaconych.
- CVE-2026-8684Średnie
Wtyczka MotoPress Hotel Booking dla WordPress do wersji 6.0.1 włącznie posiada podatność na ominięcie autoryzacji. Nieuwierzytelniony atakujący może nadpisać lub usunąć notatki wewnętrzne (_mphb_booking_internal_notes) dowolnej rezerwacji, podając jej identyfikator. Nonce dla tej akcji jest dostępny w źródle HTML każdej publicznej strony, więc każdy odwiedzający może uzyskać ważny nonce i wykonać akcję bez konta.
Oryginalny opis (angielski, źródło NVD)
The MotoPress Hotel Booking plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the Stripe Webhook event object 'id' in all versions up to, and including, 6.2.4 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The premium Stripe webhook listener only verifies the webhook signature when an optional Stripe signing secret has been configured; because that secret is empty by default, a forged webhook is accepted without cryptographic verification, and the attacker-controlled event object 'id' (e.g. a forged 'refund.created' refund id) is written unescaped into the payment log and later echoed unsanitized when an administrator views the payment. An attacker must know a valid Stripe PaymentIntent ID for an existing payment to route the forged webhook to a payment record. Note: The vulnerable webhook handler (webhook-listener.php) is part of the premium Stripe gateway integration and is not present in the lite plugin directory.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS