CVE-2026-84166: CSRF в Hotel Booking <= 3.8 позволяет управлять бронированиями

В экосистеме WordPress плагины бронирования часто получают расширенные права на работу с пользовательскими данными, и любая ошибка в их защите может обернуться серьёзными последствиями. Именно такой случай зафиксирован в CVE-2026-84166: плагин Hotel Booking до версии 3.8 включительно не реализует защиту от подделки межсайтовых запросов (CSRF) в административном модуле управления заказами.

Подробности

Уязвимость затрагивает WordPress-плагин Hotel Booking в версиях 3.8 и ниже. Проблема заключается в отсутствии CSRF-токенов (nonce) при обработке административных действий, связанных с бронированиями. Это позволяет атакующему сформировать вредоносную страницу или запрос, который при открытии авторизованным администратором отправит легитимные по виду команды на сервер. В результате злоумышленник может:

• создавать произвольные записи бронирований;
• удалять существующие заказы;
• изменять данные уже оформленных бронирований.

Атака возможна только при условии, что администратор сайта уже авторизован и совершит целевое действие (например, откроет специально подготовленную страницу или кликнет по ссылке). Взаимодействие с плагином напрямую не требуется — достаточно наличия активной сессии. Это классический сценарий CSRF, при котором браузер жертвы автоматически прикладывает cookie аутентификации к подделанному запросу. CVSS-оценка в записи CVE не указана. Однако с учётом возможности изменения и удаления данных бронирований уязвимость следует рассматривать как значимую для бизнес-логики сайта: искажение или потеря заказов способны привести к финансовым и репутационным потерям, а также к нарушению целостности данных клиентов.

Что делать

Основная рекомендация — обновить плагин Hotel Booking до версии выше 3.8, как только производитель выпустит исправление. Если обновление недоступно, следует применить компенсирующие меры:

• ограничить доступ к административной панели WordPress по IP-адресам или через дополнительную аутентификацию;
• использовать WAF с правилами, блокирующими подозрительные запросы к административным скриптам плагина;
• проверять журналы действий администраторов на предмет несанкционированных изменений бронирований;
• рассмотреть временное отключение плагина, если он не критичен для работы сайта.

Также стоит напомнить администраторам о базовой гигиене: не открывать подозрительные ссылки в браузере, где выполнен вход в WordPress, и завершать сессию после работы с админкой. Итог: CVE-2026-84166 — это уязвимость CSRF в плагине Hotel Booking, позволяющая манипулировать бронированиями от имени администратора. Несмотря на отсутствие опубликованной оценки CVSS, риски для целостности данных и бизнес-процессов высоки. Обновление плагина и ограничение доступа к админпанели — минимально необходимые шаги защиты.

Источник: CVE Project (cvelistV5)