PT-2026-42738 · WordPress · Motopress Hotel Booking

Itztrq + 1 · Publicado 2026-05-22 · Atualizado 2026-05-22 · CVE-2026-8684

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas MotoPress Hotel Booking versões anteriores a 6.0.2

Descrição O plugin MotoPress Hotel Booking para WordPress contém uma falha de bypass de autorização resultante da verificação inadequada das permissões do usuário. Atacantes não autenticados podem sobrescrever ou excluir notas internas ao fornecer um ID de reserva arbitrário. Isso é possível porque o nonce necessário é exposto no código-fonte HTML de todas as páginas públicas via wp localize script na variável MPHB. data.nonces, permitindo que qualquer visitante realize a ação sem possuir uma conta. A variável afetada é mphb booking internal notes.

Recomendações Atualize para a versão 6.0.2 ou posterior.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-8684

Produtos afetados

Motopress Hotel Booking

Referências · 11

• https://plugins.trac.wordpress.org/browser/motopress-hotel-booking-lite/tags/6.0.1/includes/ajax-api/ajax-api-handler.php#L43 · Nota
• https://twitter.com/CVEnew/status/2057783164676751630 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/motopress-hotel-booking-lite/tags/5.4.1/includes/ajax-api/ajax-api-handler.php#L43 · Nota
• https://plugins.trac.wordpress.org/changeset/3537354/motopress-hotel-booking-lite/trunk/includes/ajax-api/ajax-actions/update-booking-notes.php · Nota
• https://plugins.trac.wordpress.org/browser/motopress-hotel-booking-lite/tags/6.0.1/includes/ajax-api/ajax-actions/update-booking-notes.php#L83 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-8684 · Nota de Segurança
• https://wordfence.com/threat-intel/vulnerabilities/id/6567e63c-3129-47b2-a734-733eb599821a?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/motopress-hotel-booking-lite/tags/6.0.1/includes/ajax-api/ajax-actions/abstract-ajax-api-action.php#L34 · Nota
• https://plugins.trac.wordpress.org/browser/motopress-hotel-booking-lite/tags/5.4.1/includes/ajax-api/ajax-actions/update-booking-notes.php#L83 · Nota
• https://t.me/CVEtracker/54613 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/motopress-hotel-booking-lite/tags/5.4.1/includes/ajax-api/ajax-actions/abstract-ajax-api-action.php#L34 · Nota