CVE-2026-94432
Açıklama
WordPress için geliştirilen Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress eklentisinin 5.7.1 ve önceki sürümleri, wp_ajax_nopriv_latepoint_route_call üzerinden genel (kimlik doğrulaması yapılmamış) bir rota olarak kaydedilen OsPaypalConnectController::create_order_for_transaction() işlemi aracılığıyla Güvensiz Doğrudan Nesne Referansı (IDOR) zafiyetine sahiptir. İşleyici, herhangi bir erişim anahtarı/UUID veya sahiplik kontrolü olmaksızın sıralı bir tamsayı olan 'invoice_id' ile bir OsInvoiceModel yükler (benzer Stripe ve Razorpay işleyicileri OsInvoicesHelper::get_invoice_by_key aracılığıyla 128 bitlik bir erişim anahtarı UUID'si gerektirir) ve ardından hedef faturanın customer_id, order_id ve charge_amount değerlerine bağlı bir işlem niyetini kalıcı hale getiren ve PayPal yapılandırmalı korumaya ulaşmadan önce bunun intent_key değerini yeniden oluşturan OsTransactionIntentHelper::create_or_update_transaction_intent() fonksiyonunu çağırır. Bu durum, kimliği doğrulanmamış saldırganların rastgele müşterilere ait faturaları numaralandırmasına, başka bir müşterinin verilerine bağlı yetkisiz işlem niyeti satırları oluşturmasına ve devam eden herhangi bir NEW durumundaki işlem niyetinin intent_key değerini üzerine yazarak meşru Stripe/Razorpay akışlarının beklediği intent_key değerini geçersiz kılmasına ve bu müşteriler için ödeme webhook'larını bozmasına olanak tanır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| latepoint Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress | v ≤ 5.7.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.