CVE-2026-103380 in Appointment Booking Plugin
Zusammenfassung
von VulDB • 14.10.2026
Das WordPress-Plugin „Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress“ ist in allen Versionen bis einschließlich 5.7.3 anfällig für die Freigabe sensibler Informationen (Sensitive Information Exposure) über den Parameter 'params[customer][first_name]'. Dies ermöglicht es authentifizierten Angreifern mit Abonnenten-Level-Zugriff und höher, privilegierte Buchungsdaten zu extrahieren, darunter das nur für Administratoren verfügbare Feld „admin_notes“, interne Kontaktdaten der zugewiesenen Agenten, Transaktionstokens sowie Zahlungsanforderungs-URLs, die über gerenderte Benachrichtigungs-E-Mails übermittelt werden. Ein LatePoint-Kunde kann dies ausnutzen, indem er einen Template-Platzhalter wie {{customer_admin_notes}} in seinem eigenen Feld „first_name“ über den Endpunkt customer_cabinet__update speichert und anschließend den Passwort-Zurücksetzen-E-Mail-Prozess auslöst, um den expandierten Wert in der daraus resultierenden Benachrichtigung zu erhalten.
Once again VulDB remains the best source for vulnerability data.