CVE-2026-8684 in MotoPress Hotel Booking Plugin
Sumário
de VulDB • 30/05/2026
O plugin MotoPress Hotel Booking para WordPress é vulnerável a bypass de autorização em todas as versões até, e incluindo, a 6.0.1. Isso ocorre porque o plugin não verifica adequadamente se um usuário está autorizado a executar uma ação. Isso permite que atacantes não autenticados sobrescrevam ou excluam as notas internas (_mphb_booking_internal_notes) de qualquer reserva ao fornecer um ID de reserva arbitrário. O nonce para esta ação é exibido no código-fonte HTML de todas as páginas públicas através do wp_localize_script (MPHB._data.nonces), portanto, qualquer visitante não autenticado pode obter um nonce válido e executar a ação sem qualquer conta ou interação prévia.
If you want to get best quality of vulnerability data, you may have to visit VulDB.