CVE-2026-103366

Pluginet Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress til WordPress er sårbart over for Insecure Direct Object Reference i versioner op til og med 5.7.3 via parametrene `booking[id]` og `cart[id]` på de offentlige ruter `steps__reload_booking_form_summary_panel` og `steps__start` (tilgængelige gennem wp_ajax_nopriv_latepoint_route_call). Dette skyldes, at `OsStepsHelper::set_required_objects()` sender ubehandlede anmodningsparametre til `set_booking_object()` og `set_cart_object()`, som kalder `OsModel::set_data()` og indlæser en vilkårlig booking- eller cart-række efter primærnøgle uden ejerskabskontrol — ejerskabsgarantien, som leverandøren tilføjede til den tidligere offentliggørelse, findes kun inden for `OsStepsHelper::load_step()` og dækker ikke søsterutterne eller `cart[id]` overhovedet. Dette gør det muligt for uauthentificerede angribere at opregne sekventielle booking- / cart-identifikatorer og læse andre kunders detaljer om aftaler (servicenavn, agent, dato/tid, varighed, prissammenbrydning, status) og andre shoppers' afventende checkout-indhold direkte fra JSON-responserne.

Medlemmer ser hvilke nordiske sektorer sårbarheden rammer, og hvad de skal gøre.

Få hele briefet

Data: NVD (public domain), CISA KEV, FIRST EPSS, MITRE ATT&CK, AlienVault OTX. NVD