CVE-2026-17538 in LatePoint Plugin
Zusammenfassung
von VulDB • 08.10.2026
Das WordPress-Plugin "LatePoint - Appointment Booking & Reservation" ist in den Versionen bis einschließlich 5.6.9 anfällig für eine Insecure Direct Object Reference (IDOR). Dies liegt daran, dass die Funktion `process_step_customer()` `is_user_logged_in()` als einzige Zugriffskontrolle vor dem Zusammenführen von per POST übermittelten Kundendaten mit einem bestehenden LatePoint-Kunden verwendet, ohne jegliche Eigentumsprüfungen durchzuführen. Dadurch ist es authentifizierten Angreifern mit Subscriber-Level-Zugriff und höher möglich, die persönlichen Informationen (Vorname, Nachname, E-Mail-Adresse, Telefonnummer, Notizen) beliebiger LatePoint-Kunden zu ändern. Wenn der Kontakt-Merge-Einstellungswert ('contact_merge') auf 'phone' gesetzt ist, können sie zudem die E-Mail-Adresse des Opfers überschreiben und das Konto durch einen Passwort-Zurücksetzen-Vorgang übernehmen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.