CVE-2026-94432 in Appointment Booking Plugin
الملخص
بحسب VulDB • 02/10/2026
يحتوي ملحق الحجز Appointment Booking Plugin – LatePoint | Calendar & Scheduling لـ WordPress على ثغرة Reference إلى كائن غير آمن (Insecure Direct Object Reference) في الإصدارات حتى 5.7.1 وشاملة لها، وذلك عبر إجراء `OsPaypalConnectController::create_order_for_transaction()` المسجل كمسار عام (غير مُصادق عليه) من خلال `wp_ajax_nopriv_latepoint_route_call`. يقوم المعالج بتحميل كائن `OsInvoiceModel` باستخدام رقم صحيح تسلسلي 'invoice_id' دون أي مفتاح وصول/UUID أو فحص للملكية (حيث يتطلب كلٌ من معالجي Stripe و Razorpay المرتبطين مفتاح وصول UUID بطول 128-bit عبر `OsInvoicesHelper::get_invoice_by_key`)، ثم يستدعي `OsTransactionIntentHelper::create_or_update_transaction_intent()` الذي يُحفظ نية المعاملة مرتبطة بـ `customer_id` و `order_id` و `charge_amount` الخاصة بالفاتورة المستهدفة ويعيد توليد الـ `intent_key` قبل الوصول إلى حارس PayPal المُعدّ. وهذا يمكّن المهاجمين غير المصادق عليهم من تعداد الفواتير التابعة لعملاء عشوائيين، وإنشاء صفوف نية معاملة غير مصرح بها مرتبطة ببيانات عميل آخر، وتجاوز (overwrite) الـ `intent_key` لأي نية معاملة بحالة NEW قيد التنفيذ — مما يبطل الـ `intent_key` الذي تنتظره تدفقات Stripe/Razorpay الشرعية ويعطل واجهات برمجة التطبيقات (webhooks) الخاصة بالدفع لهؤلاء العملاء.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.