CVE-2026-92421: захват профиля хоста в Hydra Booking через IDOR
В WordPress-плагине Hydra Booking — Appointment Scheduling & Booking Calendar до версии 1.2.3 обнаружена уязвимость IDOR, позволяющая аутентифицированному пользователю с ролью хоста изменить данные чужого профиля и присвоить себе чужую запись хоста. Проблема затрагивает инсталляции с плагином версий от 1.1.0 до 1.2.3 и требует срочного обновления.
Подробности
Уязвимость затрагивает WordPress-плагин Hydra Booking — Appointment Scheduling & Booking Calendar версий от 1.1.0 до 1.2.3 (не включая 1.2.3). Согласно описанию CVE, плагин не проверяет, что изменяемая запись хоста принадлежит пользователю, выполняющему запрос. В результате аутентифицированный пользователь, обладающий назначенной плагином ролью хоста, может: - изменять данные профиля других хостов; - переназначать владение чужой записью хоста на себя. Фактически это означает захват профиля хоста (Host Profile Takeover) — злоумышленник с легитимной учётной записью и ролью хоста получает контроль над чужой записью и связанными с ней данными. Поскольку эксплуатируется не внешний, а внутренний вектор (наличие учётной записи с ролью хоста), уязвимость особенно опасна на площадках, где роли хостов выдаются внешним специалистам, партнёрам или подрядчикам: любой из них потенциально может перехватить профиль коллеги. Значение CVSS в записи CVE не указано.Что делать
Основная и наиболее надёжная рекомендация — обновить плагин Hydra Booking — Appointment Scheduling & Booking Calendar до версии 1.2.3 или выше: именно в 1.2.3 устранена описанная проблема. Дополнительные меры: - Проверьте, какие пользователи наделены ролью хоста, и удалите лишние или неиспользуемые учётные записи. - Ограничьте выдачу роли хоста только доверенным лицам и пересмотрите процессы онбординга специалистов. - После обновления проведите аудит: проверьте, не были ли профили хостов изменены или переназначены без ведома владельцев. - Если обновление невозможно в короткие сроки, рассмотрите временное ограничение доступа к функции управления профилем хоста (например, через правила WAF или ограничение прав ролей), однако это лишь митигация, а не замена патчу. Итог: CVE-2026-92421 — показательный пример того, как отсутствие проверки принадлежности объекта при обработке запроса превращает штатную роль в инструмент атаки. Несмотря на то что эксплуатация требует аутентификации, последствия в виде захвата чужого профиля хоста достаточно серьёзны, поэтому администраторам сайтов на WordPress с установленным Hydra Booking следует как можно быстрее обновиться до версии 1.2.3.Источник: CVE Project (cvelistV5)