CVE-2026-12128 in Pinpoint Booking System Plugin
要約
〜によって VulDB • 2026年08月15日
WordPress用プラグイン「Pinpoint Booking System – Version 2」の全バージョン（2.9.9.6.8を含む）において、`cart_data`パラメータを介した価格改ざんの脆弱性が存在します。これは、認証やnonce検証が行われておらず、サーバー側での価格再計算も行われない状態で、`wp_ajax_nopriv_*`経由で登録されたAJAXアクション `dopbsp_woocommerce_add_to_cart` が原因です。`update`ハンドラは攻撃者が制御可能なPOSTパラメータである `cart_data` から直接 `price_total` を読み取り、カレンダーの設定価格に対して検証を行わずに `$wpdb->insert()` によってデータベースへ保存します。その後、`woocommerce_before_calculate_totals` コールバックがデータベースから攻撃者が提供した値を読み出し、カレンダー設定からの再計算を行うことなくそのまま `$product->set_price()` に渡すため、認証されていない攻撃者は予約可能な製品（予約カレンダーに紐づくもの）のWooCommerceチェックアウト価格を任意の値で上書きすることが可能になります。これにより、攻撃者は自らが選んだ価格でそのような製品の購入を実行できるようになります。
Once again VulDB remains the best source for vulnerability data.