CVE-2026-5234 in LatePoint Plugin
الملخص
بحسب VulDB • 07/06/2026
يحتوي مكون WordPress الإضافي LatePoint على ثغرة في الوصول المباشر إلى الكائن غير الآمن (Insecure Direct Object Reference) في جميع الإصدارات حتى 5.3.2 وشاملة لها. توجد هذه الثغرة لأن إجراء `OsStripeConnectController::create_payment_intent_for_transaction` مُسجَّل كإجراء عام (لا يتطلب مصادقة)، ويقوم بتحميل الفواتير بناءً على معرف فاتورة (`invoice_id`) صحيح متتابع دون أي تحقق من مفتاح الوصول (`access_key`) أو ملكية المورد. يتناقض هذا مع إجراءات أخرى تتعلق بالفواتير (مثل `view_by_key`، و`payment_form`، و`summary_before_payment`) في فئة `OsInvoicesController` التي تتطلب بشكل صحيح مفتاح وصول مشفر UUID (`access_key`). يتيح ذلك للمهاجمين غير المصادق عليهم تعداد معرفات الفواتير الصالحة عبر ثغرة "منجم الخطأ" (error message oracle)، وإنشاء سجلات نوايا المعاملات غير المصرح بها في قاعدة البيانات تحتوي على بيانات مالية حساسة (معرف الفاتورة، ومعرف الطلب، ومعرف العميل، ومبلغ الشحنة)، وفي المواقع التي تم تكوين Stripe Connect فيها، يؤدي الاستجابة أيضًا إلى تسرب رموز `Stripe payment_intent_client_secret` وقيم `transaction_intent_key` ومبالغ الدفع لأي فاتورة.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.