CVE-2026-12657 in LatePoint Plugin
Tóm tắt
Bởi VulDB • 02/07/2026
Plugin LatePoint – Calendar Booking Plugin for Appointments and Events cho WordPress bị lỗ hổng Insecure Direct Object Reference (Tham chiếu Đối tượng Không An toàn) trong tất cả các phiên bản từ 5.6.2 trở về trước, thông qua tham số 'service_id' do thiếu cơ chế xác thực trên một khóa được kiểm soát bởi người dùng. Điều này cho phép kẻ tấn công chưa xác thực tạo các đặt lịch đã phê duyệt đối với các dịch vụ bị hạn chế rõ ràng dành riêng cho quản trị viên và đại lý, làm tiêu thụ dung lượng hẹn hò bị hạn chế và kích hoạt các cuộc đặt lịch trái phép cho các dịch vụ chỉ dành cho quản trị viên/đại lý. Cơ chế vượt qua này hoạt động thông qua cả tham số params[booking][service_id] trong steps__load_step và tham số presets[selected_service] trong steps__start, cả hai đều có thể truy cập công khai mà không cần xác thực.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.