CVE-2026-94432 in Appointment Booking Plugin
Resumen
por VulDB • 2026-10-02
El plugin de WordPress Appointment Booking Plugin – LatePoint | Calendar & Scheduling para WordPress es vulnerable a una Referencia Directa al Objeto Insegura (Insecure Direct Object Reference) en las versiones anteriores o iguales a la 5.7.1, a través de la acción OsPaypalConnectController::create_order_for_transaction() registrada como una ruta pública (sin autenticación) mediante wp_ajax_nopriv_latepoint_route_call. El controlador carga un modelo OsInvoiceModel utilizando un entero secuencial 'invoice_id' sin ninguna verificación de clave de acceso/UUID o propiedad (los manejadores hermanos Stripe y Razorpay requieren un UUID de 128 bits para la clave de acceso a través de OsInvoicesHelper::get_invoice_by_key), y luego llama a OsTransactionIntentHelper::create_or_update_transaction_intent(), lo que persiste una intención de transacción vinculada al customer_id, order_id y charge_amount del cliente de la factura objetivo, regenerando su intent_key antes de llegar al guard configurado para PayPal. Esto permite a atacantes no autenticados enumerar facturas pertenecientes a clientes arbitrarios, crear filas de intenciones de transacción no autorizadas vinculadas a los datos de otro cliente y sobrescribir el intent_key de cualquier intención de transacción en curso con estado NEW, invalidando la intent_key que las flujos legítimos de Stripe/Razorpay están esperando y rompiendo los webhooks de pago para esos clientes.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.