CVE-2026-13471
Açıklama
WordPress için geliştirilen LatePoint – Calendar Booking Plugin for Appointments and Events eklentisinin 5.6.3 dahil tüm sürümleri, kullanıcı kontrollü bir anahtar üzerindeki doğrulama eksikliği nedeniyle LatePointAbilityDeleteBooking::execute üzerinden Güvensiz Doğrudan Nesne Referansı (IDOR) zafiyetine sahiptir. Bu durum, LatePoint Agent seviyesi ve üzeri erişime sahip saldırganların, diğer LatePoint agent'larına atanmış rezervasyonları ve müşteri kişisel verilerini (tam ad, e-posta, telefon ve notlar) okumasına ve herhangi bir rezervasyon kimliği sağlayarak rastgele rezervasyonları silmesine olanak tanır. Bu zafiyet, yalnızca bir yöneticinin eklenti ayarlarında Abilities API seçeneklerini (latepoint_abilities_api, latepoint_abilities_api_delete ve/veya latepoint_abilities_api_edit) etkinleştirdiği durumlarda istismar edilebilir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| latepoint Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress | v ≤ 5.6.3 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.