CVE-2026-94432
Təsvir
WordPress üçün nəzərdə tutulmuş Appointment Booking Plugin – LatePoint | Calendar & Scheduling plugini 5.7.1 daxil olmaqla daha aşağı versiyalarda, wp_ajax_nopriv_latepoint_route_call vasitəsilə ictimai (autentifikasiya olunmamış) marşrut kimi qeydiyyata alınmış OsPaypalConnectController::create_order_for_transaction() hərəkəti üzərindən Təhlükəsiz Olmayan Birbaşa Obyektə İstinad (IDOR) zəifliyinə malikdir. Handler, heç bir giriş açarı/UUID və ya mülkiyyət yoxlaması olmadan ardıcıl tam ədəd olan 'invoice_id' vasitəsilə OsInvoiceModel yükləyir (benzer Stripe və Razorpay handlerləri OsInvoicesHelper::get_invoice_by_key vasitəsilə 128 bitlik giriş açarı UUID tələb edir) və sonra hədəf fakturanın customer_id, order_id və charge_amount dəyərləri ilə bağlı tranzaksiya niyyətini saxlayan və PayPal tərəfindən konfiqurasiya edilmiş mühafizəyə çatmazdan əvvəl onun intent_key dəyərini yenidən yaradan OsTransactionIntentHelper::create_or_update_transaction_intent() funksiyasını çağırır. Bu, autentifikasiya olunmamış hücumçulara istənilən müştəriyə məxsus fakturaları sadalamağa, başqa müştərinin məlumatları ilə əlaqəli icazəsiz tranzaksiya-niyyəti sətirləri yaratmağa və hər hansı cari NEW statuslu tranzaksiya niyyətinin intent_key dəyərini overwrite etməyə imkan verir — bu isə legitim Stripe/Razorpay axınlarının gözlədiyi intent_key dəyərini etibarsızlaşdırır və həmin müştərilər üçün ödəniş webhook-larını sıradan çıxarır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| latepoint Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress | v ≤ 5.7.1 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.