CVE-2026-103366

WordPress için geliştirilen The Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress eklentisinin 5.7.3 ve önceki sürümleri, `wp_ajax_nopriv_latepoint_route_call` üzerinden erişilebilen `steps__reload_booking_form_summary_panel` ve `steps__start` genel rotalarındaki `booking[id]` ve `cart[id]` parametreleri aracılığıyla Güvensiz Doğrudan Nesne Referansı (IDOR) zafiyetine sahiptir. Bu durum, `OsStepsHelper::set_required_objects()` fonksiyonunun ham istek parametrelerini, `OsModel::set_data()` fonksiyonunu çağıran `set_booking_object()` ve `set_cart_object()` fonksiyonlarına aktarmasından kaynaklanmaktadır; bu işlem herhangi bir sahiplik kontrolü olmaksızın birincil anahtar ile rastgele bir rezervasyon veya sepet satırını yüklemektedir. Satıcının daha önceki açıklama için eklediği sahiplik koruması yalnızca `OsStepsHelper::load_step()` içerisinde yer almakta olup kardeş rotaları veya `cart[id]` parametresini kapsamamaktadır. Bu durum, kimliği doğrulanmamış saldırganların ardışık rezervasyon/sepet tanımlayıcılarını numaralandırmasına ve diğer müşterilerin randevu detaylarını (servis adı, temsilci, tarih/saat, süre, fiyat dökümü, durum) ve diğer alışveriş yapanların bekleyen ödeme içeriklerini doğrudan JSON yanıtlarından okumasına olanak tanımaktadır.