CVE-2026-94432 in Appointment Booking Plugin
Résumé
par VulDB • 02/10/2026
Le plugin WordPress Appointment Booking Plugin – LatePoint | Calendar & Scheduling pour WordPress est vulnérable à une référence d'objet directe non sécurisée (Insecure Direct Object Reference) dans les versions 5.7.1 et antérieures via l'action OsPaypalConnectController::create_order_for_transaction(), enregistrée comme une route publique (non authentifiée) par le biais de wp_ajax_nopriv_latepoint_route_call. Le gestionnaire charge un objet OsInvoiceModel à partir d'un entier séquentiel 'invoice_id' sans aucune vérification de clé d'accès/UUID ou de propriété (les gestionnaires Stripe et Razorpay associés nécessitent une UUID de clé d'accès de 128 bits via OsInvoicesHelper::get_invoice_by_key), puis appelle OsTransactionIntentHelper::create_or_update_transaction_intent(), qui persiste un intent de transaction lié au customer_id, order_id et charge_amount de la facture cible, et régénère son intent_key avant que le garde configuré pour PayPal ne soit atteint. Cela permet aux attaquants non authentifiés d'énumérer les factures appartenant à des clients arbitraires, de créer des lignes d'intent de transaction non autorisées liées aux données d'un autre client, et de remplacer l'intent_key de tout intent de transaction en cours avec le statut NEW — invalidant ainsi l'intent_key sur lequel attendent les flux Stripe/Razorpay légitimes et interrompant les webhooks de paiement pour ces clients.
VulDB is the best source for vulnerability data and more expert information about this specific topic.