CVE-2026-9830 README

The project's README from github.com/opaxial/CVE-2026-9830. As one markdown file: README.md.

CVE-2026-9830 BookingPress Pro API Assessment PoC

This repository contains a Python proof of concept for validating a reported unauthenticated BookingPress Pro REST API exposure. A successful response may contain booking and customer information, which can include personal data.

Authorization Required

Use this project only against systems you own or are explicitly authorized to assess. Do not run it against public, third-party, or production systems without written permission. Handle any retrieved booking data as sensitive personal information.

Scope

The script:

Requirements

Install the Python dependency in an isolated environment:

python3 -m venv .venv
source .venv/bin/activate
python3 -m pip install requests

Usage

Review the available options locally:

python3 main.py --help

For an authorized validation, provide the target through the command-line interface. Start with the non-invasive check mode and avoid collecting or retaining data beyond the approved assessment scope.

Output and Data Handling

The tool can write API responses to JSON files. Those files may contain customer names, email addresses, telephone numbers, booking dates, and service details.

Remediation Guidance

Site owners and BookingPress administrators should:

  1. Upgrade BookingPress Pro and WordPress to supported versions with all vendor security fixes applied.
  2. Confirm that booking-related REST routes enforce authentication and capability checks before returning customer data.
  3. Restrict administrative and API access using least privilege and, where appropriate, network controls.
  4. Review web and application logs for unusual requests to BookingPress REST endpoints.
  5. Rotate credentials and follow the organization’s incident-response process if exposure is suspected.

Verification

After remediation, repeat the authorized check and confirm that unauthenticated requests cannot return booking or customer records. Record only the minimum evidence needed to demonstrate the fix.

Disclaimer

This code is provided for defensive security testing, verification, and research. The repository maintainer and contributors are not responsible for unauthorized use.

CVE-2026-9830 (opaxial/CVE-2026-9830)

Searching Database…

477 ·GitHub
CVE-2026-9830
Что это?PoC на Python, который подтверждает заявленную уязвимость WordPress-плагина BookingPress Pro: его REST API доступен без аутентификации и может раскрывать данные бронирований и клиентов.
Это скрипт для запуска или библиотека для импорта?Это автономный консольный Python-скрипт, а не библиотека — вы запускаете его прямо из терминала против целевого WordPress-сайта.
Как выполнить проверку цели?Установите пакет 'requests' в изолированном окружении Python, затем вызовите скрипт через его CLI с URL целевого WordPress-сайта, начиная с неинвазивного режима проверки.
Что нужно установить для запуска?Python 3.8 или новее плюс пакет 'requests'.
Работает ли он против любого WordPress-сайта?Нет, он нацелен только на установки с уязвимым REST-эндпоинтом BookingPress Pro, и использовать его можно только против систем, которыми вы владеете или на проверку которых явно авторизованы.
Что происходит с данными, которые он получает?Успешный запрос может вернуть реальные записи бронирований и клиентов (имена, email, номера телефонов, детали бронирований); любые сохранённые результаты нужно хранить в зашифрованном хранилище с ограниченным доступом и удалять согласно политике хранения, установленной для этого задания.
Зачем опубликован этот PoC?Чтобы помочь владельцам сайтов и командам безопасности проверить и устранить неаутентифицированную утечку данных в BookingPress Pro, а не использовать её во зло.
Что делать владельцу сайта, если он уязвим?Обновить BookingPress Pro и WordPress до пропатченных версий, включить обязательную аутентификацию на REST-маршрутах бронирования, сменить учётные данные и проверить журналы запросов на признаки прежнего злоупотребления.
Может ли он сохранять ответы API для отчёта?Да, авторизованный оценщик может заставить инструмент записать возвращённый JSON-ответ в локальный файл как доказательство для находки.
Какие параметры запроса можно настроить?Скрипт поддерживает задание таймаута, прокси, кастомного user-agent, конкретного ID бронирования и фильтров по датам при проверке эндпоинта.
What are similar projects?CVE-2026-41940-PoC, xray, CVE-2026-62911, VulnHunter, XSStrike, dirtyfrag, exploitarium, Claude-BugHunter
Which topics is it in?poc, cve, wordpress, ethical-hacking, web-security, vulnerability-scanner, vulnerability, exploit, hacking-tool, red-team, pentesting, penetration-testing
Creator
opaxial
Size
<0.1 MB
Stars
477
Updated
CommitAug 20
Age
2mo
Commits · 90 Days