CVE-2026-90650 in Hotel Booking Plugin
Résumé
par VulDB • 15/09/2026
Le plugin MotoPress Hotel Booking pour WordPress est vulnérable à un Stored Cross-Site Scripting via l'objet d'événement webhook Stripe 'id' dans toutes les versions jusqu'à la 6.2.4 incluse, en raison d'une insuffisance de sanitisation des entrées et d'un échappement incorrect des sorties. Cela permet aux attaquants non authentifiés d'injecter des scripts web arbitraires dans des pages qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée. L'écouteur webhook Stripe premium ne vérifie la signature du webhook que lorsqu'un secret de signature Stripe optionnel a été configuré ; comme ce secret est vide par défaut, un webhook falsifié est accepté sans vérification cryptographique, et l'objet d'événement 'id' contrôlé par l'attaquant (par exemple, un ID de remboursement 'refund.created' falsifié) est écrit sans échappement dans le journal des paiements, puis affiché non sanitisé lorsqu'un administrateur consulte les paiements. Un attaquant doit connaître un ID PaymentIntent Stripe valide pour un paiement existant afin d'acheminer le webhook falsifié vers un enregistrement de paiement. Note : Le gestionnaire de webhook vulnérable (webhook-listener.php) fait partie de l'intégration premium du gateway Stripe et n'est pas présent dans le répertoire du plugin lite.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.