CVE-2025-4691: luka w wtyczce eaSYNC Booking dla WordPress

Co wiadomo

Wtyczka Free Booking Plugin for Hotels, Restaurants and Car Rentals – eaSYNC Booking dla WordPress do wersji 1.3.21 ma lukę typu Insecure Direct Object Reference w parametrze 'view_request_details'. Brak odpowiedniej walidacji umożliwia nieautoryzowanym atakującym przeglądanie szczegółów dowolnej rezerwacji. Częściowa poprawka została wprowadzona w wersjach 1.3.18 i 1.3.21.

Wpływ biznesowy

Luka pozwala na nieautoryzowany dostęp do danych rezerwacji, co może prowadzić do naruszenia prywatności klientów oraz utraty zaufania do usług. Operatorzy stron korzystających z tej wtyczki powinni traktować ten problem poważnie, gdyż wyciek danych może skutkować konsekwencjami prawnymi i reputacyjnymi.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki eaSYNC Booking do najnowszej dostępnej wersji, która zawiera poprawki bezpieczeństwa. W przypadku braku możliwości aktualizacji, ogranicz dostęp do funkcji 'view_request_details' oraz monitoruj logi pod kątem podejrzanych aktywności. Przeanalizuj ryzyko ekspozycji danych i wprowadź odpowiednie środki ograniczające dostęp.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference