Podatności MotoPress Appointment Booking

Wtyczka MotoPress Appointment Booking dla WordPressa przed wersją 2.4.8 nie przeprowadza kontroli autoryzacji ani własności podczas obsługi identyfikatora rezerwacji dostarczonego przez użytkownika na nieuwierzytelnionym punkcie końcowym, co pozwala nieuwierzytelnionym atakującym trwale usuwać rezerwacje innych użytkowników. Jest to niepełna poprawka CVE-2026-9180: usuwanie pozostaje osiągalne na stronach korzystających z potwierdzenia płatności, potwierdzone do wersji 2.4.7.

Wtyczka MotoPress Appointment Booking dla WordPress do wersji 2.4.4 zawiera podatność na ominięcie autoryzacji poprzez kontrolowany przez użytkownika klucz. Niezautoryzowani atakujący mogą nadpisać dane klienta (imię, nazwisko, email, telefon, customer_id) w niepotwierdzonych rezerwacjach ofiar, wykorzystując publicznie dostępny endpoint REST.

Wtyczka MotoPress Appointment Booking dla WordPressa jest podatna na ogólne wstrzykiwanie SQL przez parametr 's' we wszystkich wersjach do 2.4.5 włącznie. Podatność wynika z niedostatecznego oczyszczania parametru i braku odpowiedniego przygotowania zapytania SQL, co umożliwia uwierzytelnionym atakującym z dostępem na poziomie niestandardowym i wyższym dołączanie dodatkowych zapytań SQL do istniejących.