CVE-2026-84167: уязвимость IDOR в плагине Hotel Booking раскрывает персональные данные клиентов
В WordPress-плагине Hotel Booking (версии до 3.8 включительно) обнаружена уязвимость типа IDOR, позволяющая любому авторизованному пользователю, включая Subscriber, получить доступ к данным бронирований других клиентов. Под угрозой — имена, адреса электронной почты, телефоны и почтовые адреса. Проблема затрагивает сайты, использующие плагин для приёма онлайн-бронирований.
Подробности
Уязвимость затрагивает WordPress-плагин Hotel Booking во всех версиях по 3.8 включительно. По данным CVE Project, производитель затронутого продукта указан как Unknown Hotel Booking, что может осложнить задачу идентификации конкретной сборки плагина у пользователей. Тип уязвимости — IDOR (Insecure Direct Object Reference, небезопасная прямая ссылка на объект). Плагин не проверяет, что запрашиваемая запись бронирования действительно принадлежит пользователю, который к ней обращается. В результате любой аутентифицированный пользователь — в том числе обладатель минимальной роли Subscriber — может, указав идентификатор бронирования, который ему не принадлежит, прочитать детали чужого заказа. В состав раскрываемых данных входят: имя клиента, адрес электронной почты, номер телефона и почтовый адрес. Это классический набор персональных данных (PII), утечка которого создаёт риски для конфиденциальности гостей и, в зависимости от юрисдикции, может повлечь обязательства по уведомлению регуляторов и пострадавших. Значение CVSS в записи CVE не приводится, однако характер уязвимости — доступный из сети вектор, низкая требуемая квалификация атакующего и отсутствие необходимости во взаимодействии с жертвой — указывает на высокую практическую опасность при наличии на сайте открытой регистрации пользователей.Что делать
Основная рекомендация — отслеживать выпуск обновлённой версии плагина Hotel Booking (выше 3.8) у производителя и установить её сразу после публикации. Если обновление недоступно: - ограничьте возможность регистрации новых пользователей на сайте, чтобы снизить число потенциальных атакующих с ролью Subscriber и выше; - проверьте журналы доступа на предмет подозрительных обращений к эндпоинтам плагина с перебором идентификаторов бронирований; - при необходимости временно отключите плагин, если функциональность бронирования не является критичной для бизнеса; - усильте мониторинг аномальной активности авторизованных пользователей средствами WAF и SIEM. Также стоит провести аудит уже накопленных данных: если сайт длительное время работал на уязвимой версии, нельзя исключать, что часть записей о клиентах была скомпрометирована. Итог: CVE-2026-84167 — показательный пример того, как отсутствие проверки принадлежности объекта ломает всю модель разграничения доступа. До выхода патча владельцам сайтов на WordPress с плагином Hotel Booking следует рассматривать персональные данные клиентов как потенциально доступные посторонним и принять компенсирующие меры.Источник: CVE Project (cvelistV5)