CVE-2026-8684 in MotoPress Hotel Booking Plugin
الملخص
بحسب VulDB • 22/05/2026
يحتوي مكون ووردبريس (WordPress) للحجز في الفنادق من MotoPress على ثغرة تسمح بتجاوز التفويض في جميع الإصدارات حتى 6.0.1 وشاملةً لها. ويعود ذلك إلى عدم قيام المكون بالتحقق بشكل صحيح من تفويض المستخدم لتنفيذ إجراء معين. وهذا يتيح للمهاجمين غير المصادق عليهم كتابة أو حذف الملاحظات الداخلية (_mphb_booking_internal_notes) لأي حجز عن طريق تزويد معرّف حجز عشوائي. يتم إخراج قيمة الـ nonce الخاصة بهذا الإجراء في مصدر HTML لكل صفحة عامة من خلال دالة wp_localize_script (MPHB._data.nonces)، مما يسمح لأي زائر غير مصدق عليه بالحصول على قيمة nonce صالحة وتنفيذ الإجراء دون الحاجة إلى حساب أو تفاعل مسبق.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.