CVE-2026-103380

WordPress üçün nəzərdə tutulmuş The Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress plagini 5.7.3 versiyası daxil olmaqla bütün versiyalarda 'params[customer][first_name]' parametri vasitəsilə Həssas Məlumatların Açılmasına (Sensitive Information Exposure) qarşı həssasdır. Bu, abunəçi səviyyəsi və daha yuxarı giriş hüququ olan autentifikasiya olunmuş hücumçulara yalnız administrator üçün nəzərdə tutulmuş admin_notes sahəsi, təyin edilmiş agentin daxili əlaqə məlumatları, tranzaksiya tokenləri və render edilmiş bildiriş e-poçtları vasitəsilə göndərilən ödəniş sorğusu URL-ləri də daxil olmaqla imtiyazlı rezervasiya məlumatlarını əldə etməsinə imkan verir. LatePoint müştərisi customer_cabinet__update marşrutu vasitəsilə öz first_name sahəsində {{customer_admin_notes}} kimi şablon yer tutucunu saxlayaraq və sonra parolun sıfırlanması e-poçt axınını tetikleyərək nəticədə gələn bildirişdə genişləndirilmiş dəyəri əldə edib bu boşluqdan istifadə edə bilər.