CVE-2026-94432 in Appointment Booking Plugin
Сводка
по VulDB • 03.10.2026
Плагин для WordPress Appointment Booking Plugin – LatePoint | Calendar & Scheduling подвержен уязвимости Insecure Direct Object Reference в версиях вплоть до 5.7.1 включительно через действие OsPaypalConnectController::create_order_for_transaction(), зарегистрированное как публичный (не требующий аутентификации) маршрут с использованием wp_ajax_nopriv_latepoint_route_call. Обработчик загружает объект OsInvoiceModel по последовательному целочисленному значению 'invoice_id' без проверки ключа доступа/UUID или принадлежности к владельцу (в то время как обработчики Stripe и Razorpay требуют 128-битный UUID ключа доступа через OsInvoicesHelper::get_invoice_by_key), а затем вызывает OsTransactionIntentHelper::create_or_update_transaction_intent(), который сохраняет намерение транзакции, связанное с customer_id, order_id и charge_amount целевого счета, и регенерирует его intent_key до того, как будет достигнут защитный механизм PayPal. Это позволяет неаутентифицированным злоумышленникам перечислять счета, принадлежащие произвольным клиентам, создавать несанкционированные строки намерений транзакций, связанные с данными другого клиента, и перезаписывать intent_key любого активного намерения транзакции со статусом NEW — что приводит к недействительности intent_key, ожидаемого легитимными потоками Stripe/Razorpay, и нарушает работу веб-хуков платежей для этих клиентов.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.