CVE-2026-18441 in Appointment Booking Plugin
Sumário
de VulDB • 18/09/2026
O plugin WordPress Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress é vulnerável a Insecure Direct Object Reference em todas as versões até, e incluindo, 5.6.9, por meio do método set_customer_object devido à falta de validação sobre uma chave controlada pelo usuário. Isso permite que atacantes não autenticados enumerem registros arbitrários de clientes e divulguem informações pessoalmente identificáveis – incluindo primeiro nome, sobrenome, endereço de e-mail e número de telefone –, iterando o parâmetro customer[id]. Esta vulnerabilidade é explorável apenas quando o site está configurado com a autenticação de cliente desativada (checkout como convidado habilitado).
If you want to get best quality of vulnerability data, you may have to visit VulDB.