Rox Appointment Booking: Rechteausweitung durch Mass Assignment

Zusammenfassung

Das WordPress-Plugin Rox Appointment Booking bis und mit Version 1.3.1 enthält eine Mass-Assignment-Schwachstelle im öffentlichen REST-Endpunkt für Buchungen. Ein nicht authentifizierter Angreifer kann eine beliebige WordPress-Benutzer-ID und eine E-Mail-Adresse in einem Kundendatensatz speichern. Wenn ein Administrator diesen Datensatz öffnet und speichert, ändert das Plugin die E-Mail-Adresse des verknüpften WordPress-Kontos, wodurch der Angreifer das Konto über eine Passwort-Zurücksetzung übernehmen kann. Voraussetzung ist, dass ein Administrator den manipulierten Datensatz speichert und der Angreifer eine gültige Administrator-ID kennt.

Betroffen

• Rox Appointment Booking (roxnor), WordPress-Plugin, alle Versionen bis und mit 1.3.1

Behoben in

Unbekannt. Version 1.3.2 wird referenziert, die Behebung ist jedoch weder vom Hersteller noch von Wordfence bestätigt.

Umgehung

• Keine Workaround-Massnahme des Herstellers gefunden.
• Das Buchungsmodul deaktivieren, falls es nicht benötigt wird.
• Den Zugriff auf die öffentliche REST-Route für Buchungen in der Web Application Firewall einschränken, sofern dies das Buchungsformular nicht beeinträchtigt.

Ausnutzung

• In freier Wildbahn ausgenutzt: nicht gefunden.
• Öffentlicher Proof of Concept: nicht gefunden.
• Die Recherche war eingeschränkt, daher ist nicht belegt, dass kein Exploit existiert.

Unsere Empfehlung

• Die installierte Plugin-Version prüfen. Version 1.3.1 und frühere gelten als betroffen.
• Auf die neueste Version aktualisieren, nachdem bestätigt wurde, dass diese die Schwachstelle behebt.
• WordPress-Administratorkonten und E-Mail-Adressen auf unerwartete Änderungen prüfen und die Kundentabelle auf unerwartete WordPress-Benutzer-IDs kontrollieren.
• Zwei-Faktor-Authentifizierung für Administratoren aktivieren und die Anzahl der Administratorkonten reduzieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence record www.wordfence.com
• Plugin 1.3.2 package downloads.wordpress.org
• Customer model (plugin 1.3.0) plugins.trac.wordpress.org
• SaveCustomer handler (plugin 1.3.0) plugins.trac.wordpress.org
• BookingConfirm handler (plugin 1.3.0) plugins.trac.wordpress.org
• CustomerService (plugin 1.3.0) plugins.trac.wordpress.org
• WPScan plugin page wpscan.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:22.