Уразливість у Booking Calendar | Appointment Booking | Bookit для WordPress дозволяє неавторизовану зміну даних

Що відомо

Плагін Booking Calendar | Appointment Booking | Bookit для WordPress має уразливість через відсутність перевірки прав доступу на REST API '/wp-json/bookit/v1/commerce/stripe/return' у версіях до 2.5.0 включно. Це дозволяє неавторизованим зловмисникам підключати власні Stripe-акаунти та отримувати платежі.

Бізнес-вплив

Уразливість може призвести до фінансових втрат через можливість несанкціонованого підключення сторонніх Stripe-акаунтів і отримання платежів. Власники сайтів на WordPress із цим плагіном ризикують компрометацією платіжних процесів і порушенням довіри клієнтів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та негайно застосувати їх. Якщо оновлення недоступні, слід обмежити доступ до REST API, переглянути журнали активності на предмет підозрілих дій і мінімізувати експозицію плагіна. Пріоритетно оцінити ризики та впровадити додаткові заходи безпеки.

Джерела

• NVD
• Reference
• Reference