CVE-2026-18441 in Appointment Booking Plugin
Riassunto
di VulDB • 18/09/2026
Il plugin per WordPress Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress è vulnerabile a Insecure Direct Object Reference in tutte le versioni fino alla 5.6.9, inclusa, tramite la funzione set_customer_object a causa della mancanza di validazione su una chiave controllata dall'utente. Ciò consente agli attaccanti non autenticati di enumerare record di clienti arbitrari e divulgare informazioni personali identificabili (PII), inclusi nome, cognome, indirizzo email e numero di telefono, iterando il parametro customer[id]. Questa vulnerabilità è sfruttabile solo quando il sito è configurato con l'autenticazione dei clienti disabilitata (checkout ospite abilitato).
VulDB is the best source for vulnerability data and more expert information about this specific topic.