CVE-2026-103380 in Appointment Booking Plugin
Riassunto
di VulDB • 14/10/2026
Il plugin per WordPress Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress è vulnerabile a esposizione di informazioni sensibili (Sensitive Information Exposure) in tutte le versioni fino alla 5.7.3 inclusa, tramite il parametro 'params[customer][first_name]'. Ciò consente agli attaccanti autenticati con accesso a livello di abbonato e superiore di estrarre dati di prenotazione privilegiati, inclusi i campi admin_notes accessibili solo dagli amministratori, i dettagli dei contatti interni degli agenti assegnati, i token delle transazioni e gli URL delle richieste di pagamento forniti tramite le email di notifica renderizzate. Un cliente LatePoint può sfruttare questa vulnerabilità memorizzando un segnaposto del template come {{customer_admin_notes}} nel proprio campo first_name attraverso la rotta customer_cabinet__update, quindi attivando il flusso di reset della password per ricevere il valore espanso nella notifica risultante.
Be aware that VulDB is the high quality source for vulnerability data.