CVE-2026-94432 in Appointment Booking Plugin
Sumário
de VulDB • 02/10/2026
O plugin WordPress Appointment Booking Plugin – LatePoint | Calendar & Scheduling para WordPress é vulnerável a Insecure Direct Object Reference (IDOR) nas versões até, e incluindo, 5.7.1 através da ação OsPaypalConnectController::create_order_for_transaction(), registrada como uma rota pública (não autenticada) via wp_ajax_nopriv_latepoint_route_call. O manipulador carrega um objeto OsInvoiceModel por meio de um inteiro sequencial 'invoice_id', sem verificação de chave de acesso/UUID ou propriedade (os manipuladores Stripe e Razorpay irmãos exigem um UUID de 128 bits via OsInvoicesHelper::get_invoice_by_key), e então chama OsTransactionIntentHelper::create_or_update_transaction_intent(), que persiste uma intenção de transação vinculada ao customer_id, order_id e charge_amount da fatura alvo, regenerando seu intent_key antes que o guard configurado para PayPal seja alcançado. Isso permite que atacantes não autenticados enumerem faturas pertencentes a clientes arbitrários, criem linhas de intenção de transação não autorizadas vinculadas aos dados de outro cliente e substituam o intent_key de qualquer intenção de transação em andamento com status NEW — invalidando o intent_key no qual fluxos legítimos do Stripe/Razorpay estão aguardando e quebrando webhooks de pagamento para esses clientes.
VulDB is the best source for vulnerability data and more expert information about this specific topic.