CVE-2026-15149

Nome do Software Vulnerável e Versões Afetadas WP Hotel Booking versões anteriores a 2.3.3

Description Usuários não autenticados podem manipular o preço total de uma reserva enviando valores não positivos para o parâmetro qty no endpoint da API REST pública. Isso ocorre porque o software depende de dados do carrinho controlados pelo cliente e carece de validação no lado do servidor para garantir que as quantidades de quartos e o total do pedido resultante não sejam negativos, permitindo que reservas sejam confirmadas gratuitamente ou a um preço arbitrariamente reduzido.

Recommendations Atualize para a versão 2.3.3 ou posterior. Restrinja o acesso ao parâmetro qty no endpoint da API REST pública para evitar o envio de valores não positivos.