CVE-2026-103366

WordPress üçün nəzərdə tutulmuş The Appointment Booking Plugin – LatePoint | Calendar & Scheduling plugininin 5.7.3 daxil olmaqla bütün versiyaları, `steps__reload_booking_booking_form_summary_panel` və `steps__start` ictimai marşrutlarında (wp_ajax_nopriv_latepoint_route_call vasitəsilə əlçatan olan) `booking[id]` və `cart[id]` parametrləri üzərindən Təhlükəsiz Olmayan Birbaşa Obyektə İstinad (IDOR) boşluğuna malikdir. Bu, `OsStepsHelper::set_required_objects()` funksiyasının xam sorğu parametrlərini `set_booking_object()` və `set_cart_object()` funksiyalarına ötürməsi ilə bağlıdır; həmin funksiyalar isə `OsModel::set_data()`-nı çağıraraq mülkiyyət yoxlaması aparmadan birincili açar (primary key) vasitəsilə istənilən rezervasiya və ya səbət sətirini yükləyir — vendor tərəfindən əvvəlki açıqlama üçün əlavə edilmiş mülkiyyət qoruması yalnız `OsStepsHelper::load_step()` daxilində mövcuddur və digər paralel marşrutları və ya `cart[id]` parametrini tamamilə əhatə etmir. Bu, autentifikasiya olunmamış hücumçulara ardıcıl rezervasiya / səbət identifikatorlarını sadalamağa və JSON cavablarından digər müştərilərin təyin detallarını (xidmətin adı, agent, tarix/vaxt, müddət, qiymət bölgüsü, status) və digər alıcıların gözləyən ödəniş məzmunlarını birbaşa oxumağa imkan verir.