CVE-2026-87892: в плагине Rox Appointment Booking можно подменить цену бронирования
В WordPress-плагине Rox Appointment Booking до версии 1.2.0 обнаружена уязвимость, позволяющая неаутентифицированному злоумышленнику создавать подтверждённые бронирования по произвольной цене. Также возможно обойти ограничения на способы оплаты, заданные на сайте. Уязвимость затрагивает интернет-магазины и сервисы, использующие этот плагин для онлайн-записи.
Подробности
Rox Appointment Booking — плагин для WordPress, позволяющий клиентам бронировать время на услуги с оплатой онлайн. Согласно описанию CVE, при создании бронирования плагин не проверяет итоговую сумму заказа и выбранный способ оплаты на соответствие серверным данным о ценах и настроенным ограничениям платёжных методов. Это означает, что неаутентифицированный атакующий может отправить специально сформированный запрос на создание бронирования, указав произвольную цену — например, нулевую или символическую. В результате на сайте появится подтверждённая бронь по заниженной стоимости. Дополнительно злоумышленник может обойти ограничения на способы оплаты, установленные администратором сайта, и выбрать метод, который для данной услуги или категории клиентов должен быть недоступен. Информация о CVSS-оценке в записи CVE не приводится. Уязвимость классифицируется как ценовая манипуляция (price manipulation) и обход ограничений платёжных методов (payment method restriction bypass). Точные сведения о затронутых версиях ограничиваются диапазоном «до 1.2.0».Что делать
Основная рекомендация — обновить плагин Rox Appointment Booking до версии 1.2.0 или более поздней, где, согласно записи CVE, проблема устранена. Обновление следует провести как можно скорее, поскольку для эксплуатации не требуются учётные данные. Если немедленное обновление невозможно, владельцам сайтов стоит рассмотреть временные меры: ограничить доступ к эндпоинтам создания бронирования средствами WAF, включить дополнительную серверную валидацию цен и способов оплаты на уровне интеграций, а также усилить мониторинг аномальных бронирований (например, с нулевой или нетипично низкой стоимостью). Также рекомендуется проверить журналы уже созданных бронирований на предмет подозрительных записей с заниженной ценой или нестандартными способами оплаты и при необходимости скорректировать их вручную. Владельцам сайтов, использующим плагин для коммерческих услуг, стоит уведомить финансовую службу и провести сверку платежей за период, когда уязвимость могла быть активна. Итог: CVE-2026-87892 — серьёзная уязвимость в популярном классе WordPress-плагинов для бронирования, позволяющая без аутентификации создавать брони по произвольной цене и обходить ограничения оплаты. Единственная надёжная мера — обновление до Rox Appointment Booking 1.2.0 или выше; до этого момента сайт остаётся под риском финансовых потерь и злоупотреблений.Источник: CVE Project (cvelistV5)