CVE-2026-103380
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Wtyczka Appointment Booking Plugin – LatePoint dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 5.7.3 włącznie, poprzez parametr 'params[customer][first_name]'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą wyodrębnić poufne dane rezerwacji, w tym pole admin_notes, wewnętrzne dane kontaktowe agenta, tokeny transakcji i adresy URL żądań płatności.
Ocena ryzyka
Ryzyko obejmuje ujawnienie poufnych danych biznesowych i klientów, co może prowadzić do naruszenia prywatności, oszustw finansowych lub ataków socjotechnicznych.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji oraz ograniczenie dostępu do wrażliwych pól tylko dla uprawnionych ról.
Inne podatności w Appointment Booking Plugin – LatePoint
Zobacz wszystkie- CVE-2026-92966Krytyczne
Wtyczka Appointment Booking Plugin – LatePoint dla WordPressa do wersji 5.7.0 włącznie jest podatna na wykonanie dowolnych shortcode'ów. Atakujący bez uwierzytelnienia może umieścić złośliwy shortcode podczas procesu rezerwacji, który zostanie wykonany po wyrenderowaniu przez komponent Customer Cabinet.
- CVE-2026-96662Wysokie
Wtyczka Appointment Booking Plugin – LatePoint | Calendar & Scheduling dla WordPressa jest podatna na ogólny SQL Injection przez parametr 'booking[service_id]' w wersjach do 5.7.2 włącznie z powodu niewystarczającego eskejpowania danych i braku przygotowania zapytań SQL. Niezalogowani atakujący mogą dołączać dodatkowe zapytania SQL, co pozwala na wyodrębnienie wrażliwych informacji z bazy danych.
- CVE-2026-91050Średnie
Wtyczka Appointment Booking Plugin – LatePoint dla WordPressa jest podatna na niebezpieczne bezpośrednie odwołania do obiektów / brak autoryzacji w wersjach do 5.7.2 włącznie. Nieuwierzytelnieni atakujący mogą tworzyć zatwierdzone wizyty dotyczące pozycji zamówień innych klientów oraz odczytywać ich dane osobowe.
Oryginalny opis (angielski, źródło NVD)
The Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 5.7.3 via the 'params[customer][first_name]' parameter. This makes it possible for authenticated attackers, with subscriber-level access and above, to extract privileged booking data including the administrator-only admin_notes field, assigned agent internal contact details, transaction tokens, and payment request URLs delivered via rendered notification emails. A LatePoint customer can exploit this by storing a template placeholder such as {{customer_admin_notes}} in their own first_name field via the customer_cabinet__update route, then triggering the password-reset email flow to receive the expanded value in the resulting notification.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS