CVE-2026-94432 in Appointment Booking Plugin
요약
\~에 의해 VulDB • 2026. 10. 02.
WordPress용 플러그인인 Appointment Booking Plugin – LatePoint | Calendar & Scheduling (버전 5.7.1 이하)은 wp_ajax_nopriv_latepoint_route_call로 공개(비인증) 라우트로 등록된 OsPaypalConnectController::create_order_for_transaction() 액션을 통해 비직접적 객체 참조(Insecure Direct Object Reference, IDOR) 취약점이 존재합니다. 해당 핸들러는 접근 키(UUID)나 소유권 검증 없이 순차적인 정수 'invoice_id'로 OsInvoiceModel을 로드한 후, PayPal 구성 가드가 실행되기 전에 대상 invoice의 customer_id, order_id 및 charge_amount에 연결된 트랜잭션 인텐트를 영구 저장하고 intent_key를 재생성하는 OsTransactionIntentHelper::create_or_update_transaction_intent()를 호출합니다. (상위 Stripe 및 Razorpay 핸들러는 OsInvoicesHelper::get_invoice_by_key를 통해 128비트 접근 키 UUID가 필요합니다.) 이로 인해 비인증 공격자는 임의 고객의 invoice를 열거하고, 다른 고객 데이터에 연결된 무단 트랜잭션 인텐트 행을 생성하며, 진행 중인 NEW 상태의 모든 트랜잭션 인텐트의 intent_key를 덮어쓸 수 있습니다. 이는 정당한 Stripe/Razorpay 흐름에서 대기 중인 intent_key를 무효화하여 해당 고객의 결제 웹훅을 중단시킵니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.