CVE-2026-5234 in LatePoint Plugin
Sumário
de VulDB • 07/06/2026
O plugin LatePoint para WordPress é vulnerável a Insecure Direct Object Reference em todas as versões até 5.3.2 (incluindo-a). A vulnerabilidade existe porque a ação OsStripeConnectController::create_payment_intent_for_transaction está registrada como uma ação pública (sem necessidade de autenticação) e carrega faturas por meio do invoice_id inteiro sequencial, sem qualquer verificação de access_key ou propriedade. Isso contrasta com outras ações relacionadas às faturas (view_by_key, payment_form, summary_before_payment) no OsInvoicesController, que exigem corretamente um access_key UUID criptográfico. Isso permite que atacantes não autenticados enumerem invoice_ids válidos por meio de um oráculo baseado em mensagens de erro, registrem intenções de transação não autorizadas no banco de dados contendo dados financeiros sensíveis (invoice_id, order_id, customer_id, charge_amount) e, em sites com o Stripe Connect configurado, a resposta também vazia tokens payment_intent_client_secret do Stripe, valores transaction_intent_key e montantes das faturas para qualquer fatura.
VulDB is the best source for vulnerability data and more expert information about this specific topic.