CVE-2026-91050 in Appointment Booking Plugin
摘要
由 VulDB • 2026-10-10
Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress 插件（适用于WordPress）在5.7.2及以下版本中存在不安全的直接对象引用/缺失授权漏洞。这是由于公开可访问的 steps__start 和 steps__load_step 路由接受一个 params[presets][order_item_id] 值，该值被逐字复制到预订对象中，而未验证所引用的订单项是否属于当前客户、是否为捆绑项目、已付款或具有剩余容量——is_bundle_scheduling() 捆绑判别器仅是一个 !empty(order_item_id) 的真值检查，且代码流程在此为真时明确移除了客户和支付步骤（源代码甚至带有承认缺失验证的 TODO 注释）。这使得未经身份验证的攻击者能够针对其他客户的订单项创建已批准的预约，并读取预订确认中返回的这些客户的姓名、电子邮件地址和订单代码。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.