CVE-2026-9830 BookingPress Pro API 평가 PoC

이 저장소는 보고된 인증되지 않은 BookingPress Pro REST API 노출을 검증하기 위한 Python 개념 증명(PoC)을 포함합니다. 성공적인 응답에는 예약 및 고객 정보가 포함될 수 있으며, 이 정보에는 개인 데이터가 포함될 수 있습니다.

승인 필요

이 프로젝트는 본인이 소유하거나 명시적으로 평가 승인을 받은 시스템에만 사용하십시오. 서면 허가 없이 공용, 제3자 또는 운영(프로덕션) 시스템에 대해 실행하지 마십시오. 검색된 모든 예약 데이터는 민감한 개인 정보로 취급하십시오.

범위

이 스크립트는 다음을 수행합니다:

• 제공된 WordPress 대상 URL을 정규화합니다.
• BookingPress Pro REST API 엔드포인트에 노출된 예약 응답이 있는지 확인합니다.
• 승인된 평가자가 호출할 때 반환된 응답을 로컬에 저장할 수 있습니다.
• 타임아웃, 프록시, 사용자 에이전트, 예약 ID 및 날짜 필터 구성을 지원합니다.

요구 사항

• Python 3.8 이상
• requests 패키지

격리된 환경에서 Python 의존성을 설치합니다:

python3 -m venv .venv
source .venv/bin/activate
python3 -m pip install requests

사용법

로컬에서 사용 가능한 옵션을 확인합니다:

python3 main.py --help

승인된 검증을 위해 명령줄 인터페이스를 통해 대상을 지정합니다. 비침습적 확인 모드로 시작하고 승인된 평가 범위를 넘어서는 데이터를 수집하거나 보관하지 마십시오.

출력 및 데이터 처리

이 도구는 API 응답을 JSON 파일로 작성할 수 있습니다. 해당 파일에는 고객 이름, 이메일 주소, 전화번호, 예약 날짜 및 서비스 세부 정보가 포함될 수 있습니다.

• 승인된 암호화 위치에만 출력물을 저장합니다.
• 승인된 평가 직원으로만 접근을 제한합니다.
• 티켓, 보고서 및 데모에서 개인 데이터를 삭제합니다.
• 평가 계약의 보존 정책에 따라 평가 산출물을 삭제합니다.

수정 지침

사이트 소유자와 BookingPress 관리자는 다음을 수행해야 합니다:

1. 모든 공급업체 보안 수정 사항이 적용된 지원 버전으로 BookingPress Pro 및 WordPress를 업그레이드합니다.
2. 예약 관련 REST 경로가 고객 데이터를 반환하기 전에 인증 및 권한 검사를 강제하는지 확인합니다.
3. 최소 권한 원칙을 사용하여 관리자 및 API 접근을 제한하고, 적절한 경우 네트워크 제어를 적용합니다.
4. BookingPress REST 엔드포인트에 대한 비정상적인 요청이 있는지 웹 및 애플리케이션 로그를 검토합니다.
5. 노출이 의심되는 경우 자격 증명을 교체하고 조직의 사고 대응 절차를 따릅니다.

검증

수정 후 승인된 검사를 반복하고 인증되지 않은 요청이 예약 또는 고객 기록을 반환할 수 없는지 확인합니다. 수정을 입증하는 데 필요한 최소한의 증거만 기록합니다.

면책 조항

이 코드는 방어적 보안 테스트, 검증 및 연구를 위해 제공됩니다. 저장소 유지 관리자와 기여자는 무단 사용에 대해 책임을 지지 않습니다.