„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-15238 betrifft das WordPress-Plugin MotoPress Hotel Booking in Versionen vor 6.2.3. Die Schwachstelle ermöglicht es authentifizierten Benutzern mit niedrigen Berechtigungen, Kundendaten unberechtigt zu modifizieren. Der CVSS-Score von 5.4 klassifiziert diese als mittlere Gefährdung mit erheblichen datenschutzrechtlichen Implikationen.
Betroffene Systeme
Alle Installationen des MotoPress Hotel Booking Plugins mit Versionsnummern unterhalb 6.2.3 sind betroffen. Das Plugin wird typischerweise auf WordPress-basierten Hotel- und Unterkunftsbuchungswebseiten eingesetzt. Die Schwachstelle wirkt sich auf alle Instanzen aus, auf denen das verwundbare Plugin aktiv ist, unabhängig von der WordPress-Version oder Hosting-Umgebung.
Technische Details
Die Verwundbarkeit resultiert aus fehlender Zugriffskontrolle (Insecure Direct Object Reference – IDOR) in den Kundendaten-Update-Funktionen. Das Plugin fĂĽhrt keine ausreichende ĂśberprĂĽfung der Datensatzeignerschaft durch. Angreifer können beliebige Kundenidentifikatoren in API-Requests bereitstellen und dadurch personenbezogene Daten wie Namen, E-Mail-Adressen, Buchungshistorien und Zahlungsinformationen modifizieren oder löschen.
Die kritische Funktion validiert nicht, ob der authentifizierte Benutzer tatsächlich der Eigentümer des zu ändernden Datensatzes ist. Dies ermöglicht selbst Subscriber-Level-Konten umfassende Manipulationen auf Kundendatensätzen durchzuführen.
Empfohlene Massnahmen
- Sofortiges Update auf Version 6.2.3 oder höher durchführen
- Zugriffsbeschränkungen auf WordPress-Benutzerrollen überprüfen
- Kundendaten auf unbefugte Ă„nderungen auditieren
- Web Application Firewalls (WAF) mit entsprechenden Regeln konfigurieren
- Regelmäßige Sicherheitsscans implementieren
Bewertung
Mit einem CVSS-Score von 5.4 besteht mittlere Priorität für Abhilfemassnahmen. Da noch kein Patch verfügbar ist, empfiehlt sich die Deaktivierung des Plugins bis zur Verfügbarkeit des Updates. Die datenschutzrechtlichen Konsequenzen unbefugter Datenmanipulation erfordern unverzügliche Massnahmen zur Risikominderung.
„`