CVE-2026-12128

WordPress için geliştirilen Pinpoint Booking System – Version 2 eklentisi, 2.9.9.6.8 sürümü dahil tüm önceki sürümlerde `cart_data` parametresi üzerinden Fiyat Manipülasyonuna karşı savunmasızdır. Bu durum, `dopbsp_woocommerce_add_to_cart` AJAX işleminin herhangi bir kimlik doğrulama, nonce doğrulaması ve sunucu tarafında fiyat yeniden hesaplaması olmaksızın `wp_ajax_nopriv_*` aracılığıyla kaydedilmesinden kaynaklanmaktadır; `update` işleyicisi, `price_total` değerini doğrudan saldırgan tarafından kontrol edilen `cart_data` POST parametresinden okur ve takvimin yapılandırılmış fiyatlandırmasına göre doğrulamadan `$wpdb->insert()` aracılığıyla veritabanına kaydeder. Ardından `woocommerce_before_calculate_totals` geri çağırma işlemi, saldırgan tarafından sağlanan ve veritabanında saklanan değeri tekrar okur ve takvim ayarlarından yeniden hesaplamadan doğrudan `$product->set_price()` fonksiyonuna iletir. Bu durum, kimliği doğrulanmamış saldırganların, bir rezervasyon takvimine bağlı herhangi bir rezervasyon yapılabilir ürünün WooCommerce ödeme fiyatını rastgele bir değerle değiştirmesini mümkün kılarak, söz konusu ürünlerin kendi belirledikleri fiyattan satın alınmasına olanak tanır.