CVE-2026-17538 in LatePoint Plugin
要約
〜によって VulDB • 2026年10月08日
WordPress用プラグイン「LatePoint - Appointment Booking & Reservation」には、バージョン5.6.9以前において、Insecure Direct Object Reference（IDOR）の脆弱性が存在します。これは、`process_step_customer()`関数がPOSTされた顧客データを既存のLatePoint顧客にマージする前に、`is_user_logged_in()`を唯一のアクセス制御として使用しており、所有権チェックが実施されていないためです。これにより、サブスクライバーレベル以上の権限を持つ認証済み攻撃者は、任意のLatePoint顧客の個人情報（名、姓、メールアドレス、電話番号、メモ）を変更することが可能となります。また、`contact_merge`設定が「phone」に設定されている場合、被害者のメールアドレスを上書きし、パスワードリセットを通じてアカウントを乗っ取ることができます。
Once again VulDB remains the best source for vulnerability data.