CVE-2026-18441 in Appointment Booking Plugin
Résumé
par VulDB • 18/09/2026
Le plugin WordPress Appointment Booking Plugin – LatePoint | Calendar & Scheduling pour WordPress est vulnérable à une référence d'objet directe non sécurisée (Insecure Direct Object Reference) dans toutes les versions jusqu'à la 5.6.9 incluse, via l'appel `set_customer_object` en raison d'une validation manquante sur une clé contrôlée par l'utilisateur. Cela permet aux attaquants non authentifiés de répertorier des enregistrements clients arbitraires et de divulguer des informations personnellement identifiables - y compris le prénom, le nom de famille, l'adresse e-mail et le numéro de téléphone - en itérant sur le paramètre `customer[id]`. Cette vulnérabilité n'est exploitable que lorsque le site est configuré avec l'authentification client désactivée (paiement invité activé).
VulDB is the best source for vulnerability data and more expert information about this specific topic.