CVE-2026-9180

WordPress üçün MotoPress Appointment Booking plaqini 2.4.4 versiyası da daxil olmaqla bütün versiyalarda istifadəçi tərəfindən idarə olunan açar vasitəsilə autentifikasiyadan yan keçmə zəifliyinə məruz qalır. Bu, `POST /motopress/appointment/v1/bookings` REST endpoint-inin `'permission_callback' => '__return_true'` ilə qeydiyyata alınması nəticəsində autentifikasiya olunmamış girişə imkan verməsi, halbuki `BookingsRestController.php` faylındakı `createBooking` handler-i hücumçu tərəfindən təqdim edilən `payment_details.booking_id` dəyərini qəbul edir və istinad olunan bronu `findById()` vasitəsilə çağıranın həmin brona sahib olub-olmadığını və ya hər hansı hüququ olub-olmadığını yoxlamadan yükləyir. Bu, autentifikasiya olunmamış hücumçulara rezervasiya elementləri olmayan sorğu göndərməklə istənilən təsdiqlənməmiş qurban bronunun müştəri adını, e-poçt ünvanını, telefon nömrəsini və `customer_id` dəyərini üzərinə yazmağa imkan verir və nəticədə `BookingService::createBooking()` mövcud qurban bron obyektini yükləyir və onu hücumçunun idarə etdiyi müştəri məlumatları ilə saxlayır. Qurban bron ID-ləri istismardan əvvəl autentifikasiya olmadan da, həmçinin ictimaiyyətə açıq olan `GET /motopress/appointment/v1/bookings/reservations` endpoint-inə təxmin edilə bilən `service_id` və tarix aralığı ilə sorğu göndərməklə toplana bilər və yalnız statusu `STATUS_CONFIRMED` olmayan bronlar (məsələn, gözləmədə olan və ya avtomatik qaralama) etibarlı hədəflərdir.