WP Hotel Booking przed 2.3.1 umożliwia dostęp do danych rezerwacji użytkowników

Co wiadomo

Wtyczka WP Hotel Booking dla WordPressa w wersjach wcześniejszych niż 2.3.1 nie wymusza odpowiednich uprawnień w kilku handlerach AJAX. Pozwala to uwierzytelnionym użytkownikom z poziomem Subskrybenta na odczytanie pozycji rezerwacji innych użytkowników, przeglądanie aktywnych kuponów oraz danych cenowych.

Wpływ biznesowy

Atakujący z kontem subskrybenta mogą uzyskać dostęp do poufnych informacji o rezerwacjach i promocjach, co może prowadzić do naruszenia prywatności klientów oraz narażenia na nadużycia marketingowe. Właściciele stron korzystających z tej wtyczki powinni rozważyć ryzyko wycieku danych i potencjalne szkody dla reputacji firmy.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki WP Hotel Booking do wersji 2.3.1 lub nowszej, w której problem został naprawiony. W przypadku braku możliwości aktualizacji, należy ograniczyć dostęp użytkowników do funkcji AJAX oraz monitorować logi pod kątem nieautoryzowanych działań. Warto również przeprowadzić przegląd uprawnień użytkowników i ograniczyć ich do niezbędnego minimum.

Źródła

• NVD
• Reference