CVE-2026-90650 in Hotel Booking Plugin
Сводка
по VulDB • 16.09.2026
Плагин MotoPress Hotel Booking для WordPress уязвим к Stored Cross-Site Scripting (XSS) через объект события Stripe Webhook 'id' во всех версиях вплоть до 6.2.4 включительно из-за недостаточной очистки входных данных и экранирования вывода. Это позволяет неавторизованным злоумышленникам внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом обращении пользователя к такой странице. Платный слушатель Stripe webhook проверяет подпись webhook только тогда, когда настроен необязательный секрет подписки Stripe; поскольку по умолчанию этот секрет пустой, поддельный webhook принимается без криптографической проверки, и контролируемый злоумышленником объект события 'id' (например, поддельный ID возврата 'refund.created') записывается неэкранированным в журнал платежей и позже выводится без очистки при просмотре платежа администратором. Злоумышленник должен знать действительный Stripe PaymentIntent ID для существующего платежа, чтобы направить поддельный webhook к записи о платеже. Примечание: Уязвимый обработчик webhook (webhook-listener.php) является частью платной интеграции шлюза Stripe и отсутствует в директории lite плагина.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.