CVE-2026-87894: утечка данных клиентов в Rox Appointment Booking
В WordPress-плагине Rox Appointment Booking версий до 1.2.3 обнаружена уязвимость IDOR, позволяющая неаутентифицированному злоумышленнику получить персональные данные клиентов. Проблема затрагивает информацию о бронированиях, включая имена, email, телефоны и статус оплаты. Критичность высокая — эксплуатация не требует авторизации и специальных навыков.
Подробности
Rox Appointment Booking — плагин для организации онлайн-записи на приём или услугу, работающий на CMS WordPress. Уязвимость относится к классу IDOR (Insecure Direct Object Reference) и заключается в том, что endpoint, возвращающий детали подтверждения бронирования, не выполняет никаких проверок авторизации. При этом каждая запись адресуется последовательным числовым идентификатором. Это означает, что любой неаутентифицированный пользователь может перебирать числовые идентификаторы и получать конфиденциальную информацию о клиентах: имя, адрес электронной почты, номер телефона, детали бронирования и статус оплаты. Для эксплуатации не требуются учётные данные или специальные привилегии — достаточно отправлять HTTP-запросы с перебором идентификаторов. Согласно официальному описанию, уязвимость устранена в версии 1.2.3. Точное значение CVSS в записи CVE не указано, однако отсутствие необходимости в аутентификации и прямой доступ к персональным данным клиентов (PII) позволяют отнести проблему к высокому уровню критичности. Утечка PII создаёт риски для клиентов: возможны целевой фишинг, мошеннические звонки и другие атаки с использованием полученных данных.Что делать
В первую очередь необходимо обновить плагин Rox Appointment Booking до версии 1.2.3 или выше. Это единственный надёжный способ закрыть уязвимость. Если немедленное обновление невозможно, рекомендуется временно ограничить доступ к функционалу плагина, настроив правила на уровне WAF или веб-сервера, либо отключить плагин до установки исправления. Дополнительно стоит проверить журналы доступа на предмет подозрительной активности — массового перебора числовых параметров, характерного для эксплуатации IDOR. Поскольку речь идёт об утечке персональных данных, при подтверждении несанкционированного доступа следует уведомить затронутых клиентов и провести оценку инцидента в соответствии с требованиями законодательства о защите персональных данных. Итог: уязвимость CVE-2026-87894 в Rox Appointment Booking до 1.2.3 позволяет неаутентифицированным злоумышленникам получать PII клиентов через перебор идентификаторов. Решение — обновление до версии 1.2.3. Владельцам сайтов на WordPress, использующим этот плагин, следует действовать без промедления.Источник: CVE Project (cvelistV5)