CVE-2026-94432 in Appointment Booking Plugin
Zusammenfassung
von VulDB • 02.10.2026
Das WordPress-Plugin „Appointment Booking Plugin – LatePoint | Calendar & Scheduling“ ist in den Versionen bis einschließlich 5.7.1 anfällig für eine Insecure Direct Object Reference (IDOR) über die Aktion `OsPaypalConnectController::create_order_for_transaction()`, die als öffentliche (nicht authentifizierte) Route unter `wp_ajax_nopriv_latepoint_route_call` registriert ist. Der Handler lädt ein `OsInvoiceModel` anhand einer sequentiellen Ganzzahl „invoice_id“ ohne Zugriffsschlüssel/UUID oder Eigentumsprüfung (die verwandten Stripe- und Razorpay-Handler erfordern stattdessen einen 128-Bit-Zugriffsschlüssel-UUID über `OsInvoicesHelper::get_invoice_by_key`) und ruft dann `OsTransactionIntentHelper::create_or_update_transaction_intent()` auf, das eine Transaktionsabsicht speichert, die an die `customer_id`, `order_id` und `charge_amount` der Ziel-Rechnung gebunden ist, sowie dessen `intent_key` neu generiert, bevor der PayPal-konfigurierte Guard erreicht wird. Dies ermöglicht es nicht authentifiziern Angreifern, Rechnungen beliebiger Kunden aufzulisten, unbefugte Transaktionsabsichts-Einträge zu erstellen, die mit den Daten eines anderen Kunden verknüpft sind, und den `intent_key` jeder neu gestarteten (`NEW`) Transaktionsabsicht zu überschreiben – wodurch der `intent_key`, auf den legitime Stripe/Razorpay-Flows warten, ungültig gemacht wird und die Payment-Webhooks für diese Kunden unterbrochen werden.
Once again VulDB remains the best source for vulnerability data.