CVE-2026-12433: Luka IDOR w wtyczce Hydra Booking dla WordPress

Co wiadomo

Wtyczka Hydra Booking do WordPress w wersjach do 1.2.1 umożliwia uwierzytelnionym użytkownikom z uprawnieniami Hydra Host dostęp do danych rezerwacji innych hostów poprzez lukę Insecure Direct Object Reference (IDOR) w REST API. Atakujący mogą przeglądać wrażliwe informacje, takie jak dane uczestników, szczegóły płatności i notatki wewnętrzne.

Wpływ biznesowy

Luka pozwala na nieautoryzowany dostęp do poufnych danych rezerwacji, co może prowadzić do naruszenia prywatności klientów oraz utraty zaufania do usług. Administratorzy stron korzystających z tej wtyczki powinni traktować tę podatność jako istotne zagrożenie dla bezpieczeństwa danych osobowych i operacyjnych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Hydra Booking i ich instalację. W przypadku braku łatki należy ograniczyć dostęp do REST API wyłącznie do zaufanych użytkowników, monitorować logi pod kątem nieautoryzowanych prób dostępu oraz przeprowadzić przegląd uprawnień użytkowników z rolą Hydra Host.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference