WP Manifestindependent plugin directory
manifest / events / rrze-rsvp

RRZE RSVP WP Registry grade D+. High-severity findings · 2 findingsWP RegistryHigh-severity findings · 2 findingsOpen the reportD+

Platzbuchungssystem. Geeignet zur Verwaltung von Plätzen in CIP-Pools, Seminarräumen und Hörsälen, die zu reservieren sind, wie auch zur Erfüllung der Kontaktverfolgung.

★ 2stars
2.11.5latest · 1 year ago

Install

Download source zip No release zip yet

This is the repository archive. It installs, but the folder name will carry the branch suffix and updates will not flow.

Install straight from GitHub with WP-CLI:

wp plugin install https://github.com/rrze-webteam/rrze-rsvp/archive/refs/heads/main.zip
No built-in updater. New versions won't appear under Dashboard → Updates. Install new releases yourself, or let Git Updater track the repository.

Platzbuchungssystem der FAU. Das Plugin ermöglicht das Reservieren, Einbuchen und Ausbuchen von Plätzen in Räumen oder anderen Orten.

Download

GitHub-Repo: https://github.com/RRZE-Webteam/rrze-rsvp

Autor

RRZE-Webteam , http://www.rrze.fau.de

GNU General Public License (GPL) Version 3

Zweck

Mit Hilfe des (Sitz-)Platzbuchungs- und Reservierungsssystems (RSVP, „Réservez S’il Vous Plaît“) ist es Raumverantwortlichen möglich, auf ihren jeweiligen Webauftritten eine Buchungsmöglichkeit für Plätze in Seminarräumen, Hörsälen und anderen Räumen anzubieten. Personen, die einen Platz buchen wollen, können sich vor Ort zu einem Platz ein- und abbuchen. Zusätzlich soll auch optional eine Reservierungsmöglichkeit angeboten werden.

SEIT 30.07.2022 IST DIE KONTAKTVERFOLGUNG DEAKTIVIERT (CORONA_MODE == false): In Bezug auf die notwendigen Maßnahmen zur Eindämmung der Corona-Pandemie eignet sich das System auch für eine Kontaktverfolgung.

Das System eignet sich auch für die Verwaltung von Sprechstundenterminen.

Dokumentation

Eine vollständige Dokumentation mit vielen Anwendungsbeispielen findet sich auf der Seite: https://www.wordpress.rrze.fau.de/plugins/fau-und-rrze-plugins/rsvp/

Verwendung der SSO-Option (Raum Einstellungen)

Das Plugin unterstützt die Anmeldung für zentral-vergebene Kennungen von Studierenden und Beschäftigten der Universität Erlangen-Nürnberg. Mit dieser Option ist es möglich, den Zugriff auf die Reservierungsseite nur für Personen zu autorisieren, die eine IdM-Kennung haben.

Damit die SSO-Option funktioniert, muss zuerst das RRZE-SSO-Plugin installiert und aktiviert werden. Vgl. https://github.com/RRZE-Webteam/rrze-sso

Folgen Sie dann den Anweisungen unter folgendem Link: https://github.com/RRZE-Webteam/rrze-sso/blob/master/README.md

Nachdem Sie den korrekten Betrieb des RRZE-SSO-Plugins überprüft haben, können Sie die SSO-Option des RSVP-Plugins verwenden.

Verwendung der LDAP-Option (Raum Einstellungen)

Das Plugin unterstützt auch die Anmeldung über LDAP. Mit dieser Option ist es möglich, den Zugriff auf die Reservierungsseite nur für Personen zu autorisieren, die einen Zugang zu Ihrem Active Directory haben.

Kontaktverfolgung

SEIT 30.07.2022 IST DIE KONTAKTVERFOLGUNG DEAKTIVIERT (CORONA_MODE == false und das Plugin rrze-rsvp-network ist deaktiviert):

Das Plugin bietet auch die Möglichkeit, alle Personen zu ermitteln, die sich mit einer gesuchten Person zeitgleich in denselben Räumen befanden. Das Suchformular hierfür wird über "Werkzeuge" -> "RSVP Kontaktverfolgung" aufgerufen. Falls der Zugriff nur für SuperAdmins möglich sein soll, muss das Plugin rrze-rsvp-network ( https://github.com/RRZE-Webteam/rrze-rsvp-network ) installiert und aktiviert werden. Damit kann das Suchformular nur im Dashboard der Netzwerkverwaltung über "RSVP Kontaktverfolgung" aufgerufen werden und Administratoren erhalten einen Hinweis anstelle des Formulars. Alle persönlichen Daten der Kontaktverfolgung werden verschlüsselt gespeichert und automatisch nach 4 Wochen gelöscht. Nur im Fall eines Suchtreffers werden sie entschlüsselt und in einem CSV bereitgestellt.

Releases

9 releases.

Tag
Published
Jun 23, 2026 4mo ago
2.11.5 latest
Feb 5, 2025 1 year ago
Feb 27, 2024 2 years ago
Feb 23, 2024 2 years ago
Jan 16, 2024 2 years ago
Sep 15, 2022 4 years ago
Aug 10, 2022 4 years ago
Jul 1, 2022 4 years ago
Jan 28, 2022 4 years ago

These releases are tags only. The author does not attach a packaged zip, so there are no download counts to report.

D+ grade

Security

RRZE RSVP 2.11.5 · audited by WP Registry

High-severity findings.

1 high 1 medium
Audited release
2.11.5
Findings
2
Worst severity
high
Content hash
33f9598e1d900d9bc7c7b811…

Findings

  • high booking_action AJAX missing nonce and capability allows any logged-in user to alter bookings

    missing_capability

    ajaxBookingAction is hooked only to wp_ajax_booking_action (authenticated) but performs confirm/cancel/check-in/out on arbitrary booking IDs with no check_ajax_referer and no current_user_can('edit_post'). Any Subscriber can mass-confirm or cancel bookings and trigger customer emails.

    includes/Actions.php:49-95

    Recommendation

    Require nonce + edit_post (or custom rsvp manage cap) before mutating booking status.

  • medium admin_init handleActions status changes gated by nonce only

    csrf

    handleActions on admin_init verifies wpnonce action 'status' then updates booking status without an explicit current_user_can check in the handler (relies on admin UI). CSRF against a privileged browser session remains a concern if nonce leaks.

    includes/Actions.php:97-163

    Recommendation

    Add current_user_can('edit_post', $bookingId) after nonce verification.

WP Registry hashes the installable build and reports on that exact bytes-for-bytes copy. Embargoed findings are withheld until they are disclosed, so a clean verdict means nothing public is outstanding. WP Manifest does not audit code itself.