CVE-2026-18441 in Appointment Booking Plugin
Zusammenfassung
von VulDB • 18.09.2026
Das WordPress-Plugin „Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress“ ist in allen Versionen bis einschließlich 5.6.9 über die Funktion `set_customer_object` aufgrund fehlender Validierung eines benutzerkontrollierten Schlüssels anfällig für Insecure Direct Object Reference (IDOR). Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Kunden-Datensätze aufzulisten und persönlich identifizierbare Informationen – einschließlich Vorname, Nachname, E-Mail-Adresse und Telefonnummer – offenzulegen, indem sie den Parameter `customer[id]` iterieren. Dieses Problem ist nur ausnutzbar, wenn die Website so konfiguriert ist, dass die Kundenauthentifizierung deaktiviert ist (Gast-Kauf aktiviert).
VulDB is the best source for vulnerability data and more expert information about this specific topic.