Luka w Appointment Booking Calendar dla WordPress umożliwia nieautoryzowane potwierdzanie rezerwacji

Co wiadomo

Wtyczka Appointment Booking Calendar dla WordPress w wersjach do 1.3.96 posiada lukę brakującej autoryzacji, która pozwala nieautoryzowanym atakującym na potwierdzanie rezerwacji i ich dodawanie do kalendarza. Luka wynika z braku weryfikacji pochodzenia i autentyczności powiadomień płatności przesyłanych do punktu końcowego.

Wpływ biznesowy

Atakujący mogą bez uwierzytelnienia potwierdzać rezerwacje i wywoływać wysyłkę powiadomień do administratorów oraz klientów, co może prowadzić do zakłóceń w działaniu systemu rezerwacji i generować fałszywe wpisy w kalendarzu. Może to wpłynąć na obsługę klientów i wiarygodność usług oferowanych przez firmę.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do punktu końcowego przetwarzającego powiadomienia płatności, monitorować logi pod kątem podejrzanych aktywności oraz ocenić ryzyko i priorytetyzować działania naprawcze.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference