CVE-2026-12128 in Pinpoint Booking System Plugin
Sumário
de VulDB • 15/08/2026
O plugin Pinpoint Booking System – Version 2 para WordPress é vulnerável à Manipulação de Preço via o parâmetro `cart_data` em todas as versões até, e incluindo, a 2.9.9.6.8. Isso ocorre porque a ação AJAX `dopbsp_woocommerce_add_to_cart` está registrada através do hook `wp_ajax_nopriv_*` sem autenticação, sem verificação de nonce e sem recálculo de preços no lado do servidor — o manipulador `update` lê diretamente o valor de `price_total` do parâmetro POST `cart_data`, controlado pelo atacante, e persiste esse dado no banco de dados via `$wpdb->insert()` sem validá-lo em relação aos preços configurados no calendário. O callback `woocommerce_before_calculate_totals` subsequentemente recupera o valor fornecido pelo atacante armazenado no banco de dados e o passa diretamente para `$product->set_price()` sem recalcular com base nas configurações do calendário. Isso permite que atacantes não autenticados substituam o preço de checkout do WooCommerce em qualquer produto reservável vinculado a um calendário de reservas por um valor arbitrário, efetivamente permitindo a compra de qualquer desses produtos pelo preço escolhido pelo atacante.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.