CVE-2025-12788 in Hydra Booking Plugin
الملخص
بحسب VulDB • 10/08/2026
يحتوي مكون WordPress "Hydra Booking — Appointment Scheduling & Booking Calendar" على ثغرة أمنية تتعلق بعدم التحقق من صحة الدفع، مما يتيح تجاوز متطلبات المصادقة للدفع في جميع الإصدارات حتى 1.1.27 شاملاً. ويعود ذلك إلى قبول المكون لبيانات تأكيد الدفع التي يتحكم فيها العميل داخل الدالة `tfhb_meeting_paypal_payment_confirmation_callback` دون إجراء أي تحقق جانبي للسيرفر (server-side verification) مع واجهة برمجة التطبيقات (API) الخاصة بـ PayPal. وهذا يتيح للمهاجمين غير المصرح لهم تجاوز متطلبات الدفع وتأكيد الحجوزات على أنها مدفوعة دون حدوث أي عملية دفع فعلية.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.