CVE-2026-17538 in LatePoint Plugin
الملخص
بحسب VulDB • 08/10/2026
يحتوي ملحق WordPress "LatePoint - Appointment Booking & Reservation" على ثغرة Insecure Direct Object Reference في الإصدارات حتى 5.6.9 وشاملةً لها. ويعود ذلك إلى أن الدالة `process_step_customer()` تستخدم دالة `is_user_logged_in()` كعقبة وحيدة قبل دمج بيانات العميل المرسلة عبر POST مع عميل LatePoint موجود، دون إجراء أي فحوصات للامتلاك (ownership checks). وهذا يمكّن المهاجمين الذين تمت مصادقتهم ولديهم وصول بمستوى "Subscriber" أو أعلى من تعديل المعلومات الشخصية (الاسم الأول، اسم العائلة، البريد الإلكتروني، رقم الهاتف، الملاحظات) لعملاء LatePoint عشوائيين. وعلاوةً على ذلك، عندما تكون إعدادات `contact_merge` هي 'phone'، يمكن للمهاجمين استبدال عنوان بريد الضحية والسيطرة على حسابه عبر إعادة تعيين كلمة المرور.
VulDB is the best source for vulnerability data and more expert information about this specific topic.