CVE-2026-103380
Açıklama
WordPress için geliştirilen The Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress eklentisinin 5.7.3 dahil tüm sürümleri, 'params[customer][first_name]' parametresi üzerinden Hassas Bilgi İfşası (Sensitive Information Exposure) zafiyetine sahiptir. Bu durum; abone seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, yalnızca yöneticilere özel olan admin_notes alanı, atanmış temsilcinin dahili iletişim bilgileri, işlem jetonları ve oluşturulmuş bildirim epostaları aracılığıyla iletilen ödeme isteği URL'leri dahil olmak üzere ayrıcalıklı rezervasyon verilerini çıkarmasını mümkün kılmaktadır. Bir LatePoint müşterisi, customer_cabinet__update rotası üzerinden kendi first_name alanına {{customer_admin_notes}} gibi bir şablon yer tutucusu kaydederek ve ardından şifre sıfırlama eposta akışını tetikleyerek, sonuçlanan bildirimde genişletilmiş değeri alıp bu durumu istismar edebilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| latepoint Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress | v ≤ 5.7.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.