CVE-2026-12657
Təsvir
WordPress üçün LatePoint – Calendar Booking Plugin for Appointments and Events plaqini 5.6.2 daxil olmaqla bütün versiyalarda istifadəçi tərəfindən idarə olunan açar üzərində validasiya olmadığına görə 'service_id' parametri vasitəsilə Təhlükəsiz Olmayan Birbaşa Obyekt İstinadına (IDOR) həssasdır. Bu, autentifikasiyadan keçməmiş hücumçulara yalnız adminlər və agentlər üçün açıq şəkildə məhdudlaşdırılmış xidmətlərə qarşı təsdiqlənmiş bronlar yaratmağa imkan verir ki, bu da məhdudlaşdırılmış görüş tutumunu istehlak edir və yalnız admin/agent xidmətləri üçün icazəsiz bronların yaranmasına səbəb olur. Yan keçmə həm steps__load_step-dəki params[booking][service_id] parametri, həm də steps__start-dakı presets[selected_service] parametri vasitəsilə işləyir və hər ikisi autentifikasiya olmadan ictimaiyyət üçün əlçatandır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| latepoint LatePoint – Calendar Booking Plugin for Appointments and Events | v ≤ 5.6.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.