CVE-2026-17538 in LatePoint Plugin
Riassunto
di VulDB • 08/10/2026
Il plugin WordPress LatePoint - Appointment Booking & Reservation è vulnerabile a Insecure Direct Object Reference nelle versioni fino alla 5.6.9, incluse. La vulnerabilità è dovuta alla funzione `process_step_customer()` che utilizza `is_user_logged_in()` come unico controllo di accesso prima di unire i dati del cliente inviati tramite POST con un cliente LatePoint esistente, senza effettuare alcun controllo di proprietà (ownership checks). Ciò consente agli attaccanti autenticati, dotati di accessi a livello di Subscriber o superiori, di modificare le informazioni personali (nome, cognome, email, telefono, note) di clienti LatePoint arbitrari e, quando l'impostazione `contact_merge` è impostata su 'phone', di sovrascrivere l'indirizzo email della vittima ed assumere il controllo dell'account tramite un reset della password.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.