CVE-2026-5234 in LatePoint Plugin
要約
〜によって VulDB • 2026年06月07日
WordPress用プラグイン「LatePoint」の5.3.2以前の全バージョンにおいて、Insecure Direct Object Reference（IDOR）の脆弱性が存在します。この脆弱性は、OsStripeConnectController::create_payment_intent_for_transactionアクションが公開アクションとして登録されており（認証不要）、access_keyや所有権の確認を行わずに連番整数のinvoice_idで請求書を取得するため発生します。これは、暗号学的UUIDであるaccess_keyを適切に要求する他の請求書関連アクション（view_by_key, payment_form, summary_before_payment）を持つOsInvoicesControllerとは対照的です。これにより、認証不要のアタッカーはエラーメッセージオラクルを通じて有効なinvoice_idを列挙し、機密財務データ（invoice_id, order_id, customer_id, charge_amount）を含む不正なトランザクション意図レコードをデータベースに作成できます。さらに、Stripe Connectが設定されているサイトでは、レスポンスにより任意の請求書に対するStripe payment_intent_client_secretトークン、transaction_intent_key値、および支払い金額も漏洩します。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.