CVE-2025-12788
Açıklama
WordPress için geliştirilen Hydra Booking — Appointment Scheduling & Booking Calendar eklentisinin 1.1.27 sürümü dahil tüm önceki sürümleri, kimlik doğrulaması yapılmamış ödeme atlatmaya yol açan eksik ödeme doğrulaması zafiyetine sahiptir. Bu durum, eklentinin tfhb_meeting_paypal_payment_confirmation_callback fonksiyonunda, istemci tarafından kontrol edilen ödeme onay verilerini PayPal API ile sunucu tarafında doğrulama yapmadan kabul etmesinden kaynaklanmaktadır. Bu durum, kimlik doğrulaması yapmamış saldırganların ödeme gereksinimlerini atlatmasını ve herhangi bir gerçek ödeme işlemi gerçekleşmeden rezervasyonları ödenmiş olarak onaylamasını mümkün kılmaktadır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| themefic Hydra Booking — Appointment Scheduling & Booking Calendar | v ≤ 1.1.27 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.