Просмотрите доступные параметры локально:

Для авторизованной проверки укажите цель через интерфейс командной строки. Начните с неинвазивного режима проверки и избегайте сбора или хранения данных за пределами утверждённого объёма оценки.

Вывод и обработка данных

Инструмент может записывать ответы API в JSON-файлы. Эти файлы могут содержать имена клиентов, адреса электронной почты, номера телефонов, даты бронирования и сведения об услугах.

• Храните выходные данные только в одобренных зашифрованных местах.
• Ограничьте доступ только авторизованным сотрудникам оценки.
• Удаляйте персональные данные из тикетов, отчётов и демонстраций.
• Удаляйте артефакты оценки в соответствии с политикой хранения данных в рамках задания.

Рекомендации по устранению уязвимости

Владельцам сайтов и администраторам BookingPress следует:

1. Обновить BookingPress Pro и WordPress до поддерживаемых версий со всеми исправлениями безопасности от вендора.
2. Убедиться, что REST-маршруты, связанные с бронированием, выполняют проверки аутентификации и прав доступа перед возвратом данных клиентов.
3. Ограничить административный и API-доступ по принципу минимальных привилегий и, где уместно, сетевыми средствами контроля.
4. Просматривать журналы веб-сервера и приложения на предмет необычных запросов к REST-конечным точкам BookingPress.
5. Сменить учётные данные и следовать процессу реагирования на инциденты организации при подозрении на утечку.

Проверка

После устранения уязвимости повторите авторизованную проверку и убедитесь, что неаутентифицированные запросы не могут вернуть записи о бронированиях или клиентах. Фиксируйте только минимальные доказательства, необходимые для демонстрации исправления.

Отказ от ответственности

Этот код предоставлен для защитного тестирования безопасности, проверки и исследований. Сопровождающие репозитория и участники не несут ответственности за несанкционированное использование.