CVE-2026-91050
Təsvir
WordPress üçün nəzərdə tutulmuş The Appointment Booking Plugin – LatePoint | Calendar & Scheduling plugin-inin 5.7.2 daxil olmaqla daha aşağı versiyaları Insecure Direct Object Reference / Missing Authorization zəifliyinə malikdir. Bu, hər kəs üçün əlçatan olan steps__start və steps__load_step marşrutlarının params[presets][order_item_id] dəyərini qəbul etməsi ilə bağlıdır; həmin dəyər istinad edilən sifariş elementinin cari müştəriyə aid olub-olmadığı, paket elementi olub-olmadığı, ödənilib-ödənilmədiyi və ya boş yerinin qalıb-qalmadığı yoxlanılmadan birbaşa booking obyektinə köçürülür — is_bundle_scheduling() paket diskriminatoru sadəcə !empty(order_item_id) doğruluq yoxlamasından ibarətdir və kod axını bu şərt ödənildikdə müştəri və ödəniş mərhələlərini açıq şəkildə silir (mənbədə çatışmayan validasiyanı qeyd edən TODO qeydi belə mövcuddur). Bu, autentifikasiya olunmamış hücumçulara digər müştərilərin sifariş elementləri üzərindən təsdiqlənmiş görüşlər yaratmağa və rezervasiya təsdiqində qaytarılan həmin müştərilərin adlarını, e-poçt ünvanlarını və sifariş kodlarını oxumağa imkan verir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| latepoint Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress | v ≤ 5.7.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.