CVE-2026-100163

WordPress üçün nəzərdə tutulmuş The Appointment Booking Plugin – LatePoint | Calendar & Scheduling plugininin 5.7.2 daxil olmaqla daha aşağı versiyaları, ictimai process_step_customer() rezervasiya mərhələsindən çağırılan OsCustomerHelper::create_wp_user_for_customer() köməkçi funksiyası vasitəsilə Autentifikasiyadan yan keçmə zəifliyinə malikdir. 'Use WordPress users as customers' seçimi aktiv olduqda, köməkçi funksiya email_exists()-dən username_exists( $customer->email ) funksiyasına keçir ki, bu da istifadəçinin user_email ünvanı tamamilə fərqli olsa belə, user_login dəyəri qurban müştərinin e-poçtu ilə üst-üstə düşən hər hansı bir WordPress istifadəçisini tapır və həmin WordPress istifadəçisinin ID-sini qurbanın LatePoint müştəri sətirinə bağlayır (yalnız imtiyazlı rollar istisna edilir; Subscriber roluna icazə verilir). Bu, Subscriber səviyyəsində və daha yuxarı giriş hüququna malik autentifikasiya olunmuş hücumçulara, user_login dəyəri qurbanın e-poçtu ilə eyni olan Subscriber hesabı vasitəsilə və autentifikasiya olunmamış ictimai rezervasiya qeydiyyat sorğusu göndərməklə başqa bir müştərinin LatePoint hesabını ələ keçirməsinə — onların rezervasiyalarına, xidmət, agent və təqvim məlumatlarına giriş əldə etməsinə və növbəti giriş zamanı qurban müştərinin e-poçtunun hücumçunun e-poçtu ilə əvəzlənməsinə şərait yaradır.