CVE-2025-12633: Luka wtyczki Booking Calendar umożliwiająca nieautoryzowaną modyfikację danych

Co wiadomo

Wtyczka Booking Calendar | Appointment Booking | Bookit dla WordPress do wersji 2.5.0 ma lukę bezpieczeństwa w REST API, która pozwala nieautoryzowanym atakującym na połączenie własnego konta Stripe i odbieranie płatności. Problem wynika z braku sprawdzenia uprawnień na endpointzie '/wp-json/bookit/v1/commerce/stripe/return'.

Wpływ biznesowy

Luka umożliwia atakującym przejęcie kontroli nad procesem płatności poprzez podłączenie własnego konta Stripe, co może prowadzić do utraty przychodów i narażenia na oszustwa finansowe. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako poważne zagrożenie dla integralności i bezpieczeństwa transakcji online.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Booking Calendar i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć dostęp do REST API, monitorować logi pod kątem podejrzanych aktywności oraz rozważyć tymczasowe wyłączenie funkcji płatności Stripe. Priorytetowo należy ocenić ryzyko i wdrożyć odpowiednie środki zapobiegawcze.

Źródła

• NVD
• Reference
• Reference