CVE-2026-9180

WordPress için geliştirilen MotoPress Appointment Booking eklentisi, 2.4.4 sürümü dahil tüm önceki sürümlerde Kullanıcı Kontrollü Anahtar Aracılığıyla Yetkilendirme Atlatma zafiyetine sahiptir. Bu durum, `POST /motopress/appointment/v1/bookings` REST uç noktasının `'permission_callback' => '__return_true'` ile kaydedilerek kimlik doğrulaması yapılmamış erişime izin vermesinden ve `BookingsRestController.php` dosyasındaki `createBooking` işleyicisinin saldırgan tarafından sağlanan `payment_details.booking_id` değerini kabul edip referans verilen rezervasyonu `findById()` aracılığıyla yüklerken çağrının bu rezervasyona sahip olduğunu veya herhangi bir hakkı olduğunu doğrulamamasından kaynaklanmaktadır. Bu durum, kimlik doğrulaması yapmamış saldırganların, rezervasyon öğeleri içermeyen bir istek göndererek herhangi bir onaylanmamış mağdur rezervasyonunun müşteri adını, e-posta adresini, telefon numarasını ve `customer_id` bilgisini üzerine yazmasını mümkün kılar; böylece `BookingService::createBooking()` mevcut mağdur rezervasyon nesnesini yükler ve saldırgan kontrollü müşteri verileriyle kalıcı hale getirir. Mağdur rezervasyon ID'leri, istismar öncesinde kimlik doğrulaması olmaksızın, tahmin edilebilir bir `service_id` ve tarih aralığı ile yine herkese açık olan `GET /motopress/appointment/v1/bookings/reservations` uç noktasına sorgu gönderilerek toplanabilir ve yalnızca durumu `STATUS_CONFIRMED` olmayan (örneğin bekleyen veya otomatik taslak) rezervasyonlar geçerli hedeflerdir.