CVE-2026-17538
Açıklama
WordPress için geliştirilen LatePoint - Appointment Booking & Reservation eklentisinin 5.6.9 ve önceki sürümleri, Güvensiz Doğrudan Nesne Referansı (IDOR) zafiyetine sahiptir. Bu durum, process_step_customer() fonksiyonunun, POST edilen müşteri verilerini mevcut bir LatePoint müşterisiyle birleştirmeden önce herhangi bir sahiplik kontrolü yapmaksızın yalnızca is_user_logged_in() fonksiyonunu kullanmasından kaynaklanmaktadır. Bu durum, Abone seviyesi ve üzeri erişime sahip kimliği doğrulanmış saldırganların, rastgele LatePoint müşterilerinin kişisel bilgilerini (ad, soyad, e-posta, telefon, notlar) değiştirmesine ve contact_merge ayarı 'phone' olduğunda kurbanın e-posta adresinin üzerine yazarak şifre sıfırlama yoluyla hesabı ele geçirmesine olanak tanır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| latepoint Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress | v ≤ 5.6.9 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.