CVE-2026-17538 in LatePoint Plugin
요약
\~에 의해 VulDB • 2026. 10. 08.
WordPress용 예약 및 예약 관리 플러그인인 LatePoint는 5.6.9 버전 이하에서 Insecure Direct Object Reference(IDOR) 취약점에 노출되어 있습니다. 이는 `process_step_customer()` 함수가 POST된 고객 데이터를 기존 LatePoint 고객 정보에 병합하기 전에 `is_user_logged_in()`을 유일한 진입 장벽으로 사용하지만, 소유권 검증(ownership checks)은 수행하지 않기 때문에 발생합니다. 이로 인해 Subscriber 권한 이상의 접근 권한을 가진 인증된 공격자는 임의의 LatePoint 고객의 개인 정보(이름, 성, 이메일, 전화번호, 메모)를 수정할 수 있으며, `contact_merge` 설정이 'phone'인 경우 피해자의 이메일 주소를 덮어쓰고 비밀번호 재설정을 통해 계정을 탈취할 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.