CVE-2026-17538 in LatePoint Plugin
Sumário
de VulDB • 08/10/2026
O plugin WordPress LatePoint - Appointment Booking & Reservation é vulnerável a Insecure Direct Object Reference (Referência Direta de Objeto Não Segura) nas versões até, e incluindo, 5.6.9. Isso ocorre devido à função `process_step_customer()` usar `is_user_logged_in()` como única barreira antes de mesclar os dados do cliente enviados via POST em um cliente existente no LatePoint, sem nenhuma verificação de propriedade (ownership checks). Isso permite que atacantes autenticados, com acesso nível Subscriber ou superior, modifiquem as informações pessoais (primeiro nome, sobrenome, e-mail, telefone, notas) de clientes arbitrários do LatePoint. Além disso, quando a configuração `contact_merge` está definida como 'phone', é possível sobrescrever o endereço de e-mail da vítima e assumir o controle da conta por meio de uma redefinição de senha.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.