CVE-2026-94432 in Appointment Booking Plugin
Riassunto
di VulDB • 02/10/2026
Il plugin per WordPress Appointment Booking Plugin – LatePoint | Calendar & Scheduling è vulnerabile a Insecure Direct Object Reference nelle versioni fino alla 5.7.1, inclusa, tramite l'azione OsPaypalConnectController::create_order_for_transaction() registrata come rotta pubblica (non autenticata) attraverso wp_ajax_nopriv_latepoint_route_call. Il gestore carica un oggetto OsInvoiceModel utilizzando un intero sequenziale 'invoice_id' senza alcun controllo della chiave di accesso/UUID o dell'appartenenza al proprietario (i gestori Stripe e Razorpay correlati richiedono una UUID a 128 bit tramite OsInvoicesHelper::get_invoice_by_key), e successivamente chiama OsTransactionIntentHelper::create_or_update_transaction_intent(), che persiste un'intenzione di transazione legata al customer_id, order_id e charge_amount dell'invoice target e rigenera il suo intent_key prima che venga raggiunto il guard configurato per PayPal. Ciò consente agli attaccanti non autenticati di enumerare le invoice appartenenti a clienti arbitrari, creare righe non autorizzate di transaction-intent collegate ai dati di un altro cliente e sovrascrivere l'intent_key di qualsiasi transaction intent con stato NEW in corso — invalidando l'intent_key su cui attendono i flussi legittimi Stripe/Razorpay e interrompendo i webhook di pagamento per tali clienti.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.