Podatności MotoPress Hotel Booking

Wtyczka MotoPress Hotel Booking dla WordPressa w wersjach do 6.2.4 włącznie jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez pole 'id' obiektu zdarzenia Stripe Webhook z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Premium odbiornik webhooków Stripe weryfikuje podpis tylko wtedy, gdy skonfigurowano opcjonalny sekret podpisywania Stripe; ponieważ domyślnie jest on pusty, sfałszowany webhook jest akceptowany bez weryfikacji kryptograficznej, a kontrolowane przez atakującego pole 'id' jest zapisywane bez ucieczki w dzienniku płatności i później wyświetlane bez sanityzacji, gdy administrator przegląda płatność.

Wtyczka MotoPress Hotel Booking dla WordPressa przed wersją 6.2.3 nie weryfikuje własności rekordów przed ich aktualizacją, co pozwala każdemu uwierzytelnionemu użytkownikowi z kontem o niskich uprawnieniach (Subscriber i wyżej) na modyfikację lub nadpisanie danych osobowych dowolnego klienta poprzez podanie dowolnego identyfikatora.

Wtyczka MotoPress Hotel Booking dla WordPressa przed wersją 6.2.3 nie przeprowadza żadnej autoryzacji ani kontroli własności na punkcie końcowym REST, który tworzy rekordy płatności, co pozwala nieuwierzytelnionym użytkownikom na tworzenie rekordów płatności zakończonych dla dowolnych rezerwacji i fałszywe oznaczanie ich jako opłaconych.

Wtyczka MotoPress Hotel Booking dla WordPress do wersji 6.0.1 włącznie posiada podatność na ominięcie autoryzacji. Nieuwierzytelniony atakujący może nadpisać lub usunąć notatki wewnętrzne (_mphb_booking_internal_notes) dowolnej rezerwacji, podając jej identyfikator. Nonce dla tej akcji jest dostępny w źródle HTML każdej publicznej strony, więc każdy odwiedzający może uzyskać ważny nonce i wykonać akcję bez konta.