CVE-2026-92420: IDOR в Hydra Booking позволяет удалять чужие бронирования
В WordPress-плагине Hydra Booking — Appointment Scheduling & Booking Calendar до версии 1.2.2 обнаружена уязвимость типа IDOR. Пользователь уровня поставщика услуг может отменять и безвозвратно удалять бронирования других поставщиков на том же сайте. Проблема затрагивает сайты с несколькими провайдерами и требует приоритетного обновления.
Подробности
Уязвимый продукт — WordPress-плагин Hydra Booking — Appointment Scheduling & Booking Calendar версий ниже 1.2.2. Тип уязвимости — IDOR (Insecure Direct Object Reference, небезопасная прямая ссылка на объект), относящийся к классу нарушений контроля доступа (CWE-639). Согласно описанию, плагин не проверяет, что бронирование принадлежит запрашивающему пользователю, прежде чем изменить или удалить его. Проблема затрагивает два эндпоинта бронирования. Практическая эксплуатация не требует привилегий администратора: достаточно учётной записи уровня поставщика услуг (booking-provider-level user). Злоумышленник с такой ролью может отменять и безвозвратно удалять бронирования других поставщиков, работающих на том же сайте. Это создаёт риск потери данных, срыва расписания и репутационного ущерба для бизнеса, использующего плагин для приёма записей. CVSS-оценка в записи CVE не указана, однако характер уязвимости — межаккаунтное удаление и модификация данных без должной авторизации — позволяет отнести её к значимым угрозам для мультипровайдерных инсталляций.Что делать
Основная рекомендация — обновить плагин Hydra Booking — Appointment Scheduling & Booking Calendar до версии 1.2.2 или выше. Это единственный надёжный способ закрыть уязвимость, поскольку исправление реализовано именно в этой версии. Если немедленное обновление невозможно, следует рассмотреть временные митигации: ограничить число пользователей с ролью поставщика услуг, временно приостановить приём новых провайдеров на сайт, усилить мониторинг действий с бронированиями и настроить резервное копирование базы данных, чтобы иметь возможность восстановить удалённые записи. Также полезно проверить журналы на предмет подозрительных операций удаления или отмены чужих бронирований. Важно учитывать, что уязвимость эксплуатируется изнутри — авторизованным пользователем с легитимным доступом к панели поставщика. Поэтому недостаточно полагаться только на внешние средства защиты периметра: критично контролировать роли и права внутри системы. Итог: CVE-2026-92420 — классический пример нарушения контроля доступа, подчёркивающий важность проверки принадлежности объекта запрашивающему пользователю на каждом эндпоинте. Всем, кто использует Hydra Booking на версиях ниже 1.2.2, следует незамедлительно обновиться и проверить целостность данных о бронированиях.Источник: CVE Project (cvelistV5)