CVE-2026-15250

Wtyczka WordPress Appointment Booking Plugin przed wersją 5.7.3 nie weryfikuje, czy osoba wywołująca jest właścicielem zamówienia wskazanego przez identyfikator pozycji zamówienia, przed wyświetleniem podsumowania potwierdzenia. Nieuwierzytelniony odwiedzający może uzyskać dane klienta, takie jak imię i nazwisko, dane kontaktowe oraz kod potwierdzenia zamówienia, podając kolejny identyfikator pozycji zamówienia.

Wtyczka Appointment Booking Plugin dla WordPressa przed wersją 5.6.5 nie weryfikuje, czy użytkownik personelu zaplecza jest uprawniony do działania na konkretnym rekordzie przeznaczonym do usunięcia. Uwierzytelniony użytkownik z rolą pracownika ograniczoną do rekordów może nieodwracalnie usunąć dowolne zamówienie, klienta lub transakcję na stronie, w tym rekordy należące do innych pracowników i poza ich przydzielonym zakresem.

Wtyczka Appointment Booking Plugin dla WordPressa przed wersją 5.6.9 nie egzekwuje autoryzacji na poziomie rekordu w kilku akcjach API AI Abilities. Uwierzytelniony użytkownik z rolą LatePoint Agent, zwykle ograniczony do własnych rekordów, może czytać i modyfikować dane profilowe innych agentów oraz czytać rezerwacje innych agentów i powiązane dane klientów, gdy funkcja Abilities API jest włączona.

Wtyczka Appointment Booking Plugin dla WordPress przed wersją 5.6.3 nie weryfikuje tokena CSRF w kilku akcjach zmieniających stan systemu, obsługiwanych przez centralny dyspozytor żądań. Umożliwia to atakującym wykonanie uprzywilejowanych działań, takich jak nadpisanie konfiguracji formularza rezerwacji lub odłączenie podłączonej bramki płatności, poprzez fałszerstwo żądania międzywitrynowego (CSRF) wobec zalogowanego administratora.