CVE-2026-13471
Təsvir
WordPress üçün nəzərdə tutulmuş LatePoint – Calendar Booking Plugin for Appointments and Events plagininin 5.6.3 daxil olmaqla bütün versiyaları, istifadəçi tərəfindən idarə olunan açarda validasiyanın olmaması səbəbindən LatePointAbilityDeleteBooking::execute vasitəsilə Təhlükəsiz Olmayan Birbaşa Obyektə İstinad (IDOR) zəifliyinə malikdir. Bu, LatePoint Agent və daha yuxarı səviyyəli giriş hüququ olan hücumçulara digər LatePoint agentlərinə təyin edilmiş rezervasiyaları və müştəri şəxsi məlumatlarını (tam ad, e-poçt, telefon və qeydlər) oxumağa, həmçinin hər hansı bir rezervasiya ID-sini təqdim etməklə ixtiyari rezervasiyaları silməyə imkan verir. Bu zəiflik yalnız administrator plagin parametrlərində Abilities API keçidlərini (latepoint_abilities_api, latepoint_abilities_api_delete və/və ya latepoint_abilities_api_edit) aktivləşdirdiyi halda istismar edilə bilər.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| latepoint Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress | v ≤ 5.6.3 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.