CVE-2026-17538 in LatePoint Plugin
Resumen
por VulDB • 2026-10-08
El plugin de WordPress LatePoint - Appointment Booking & Reservation es vulnerable a Referencia Directa a Objetos Insegura (IDOR) en las versiones 5.6.9 y anteriores. Esto se debe a que la función `process_step_customer()` utiliza `is_user_logged_in()` como el único mecanismo de control antes de fusionar los datos del cliente enviados mediante POST con un cliente existente de LatePoint, sin realizar ninguna verificación de propiedad (ownership checks). Esto permite a atacantes autenticados, con acceso de nivel Suscriptor o superior, modificar la información personal (nombre, apellidos, correo electrónico, teléfono y notas) de clientes arbitrarios de LatePoint. Además, cuando el ajuste `contact_merge` está configurado en 'phone', pueden sobrescribir la dirección de correo electrónico de la víctima y tomar control de su cuenta mediante un restablecimiento de contraseña.
Once again VulDB remains the best source for vulnerability data.