CVE-2026-103380
Beschrijving NL
De Appointment Booking Plugin – LatePoint | Calendar & Scheduling voor WordPress plugin voor WordPress is kwetsbaar voor blootstelling aan gevoelige informatie in alle versies tot en met 5.7.3 via de parameter 'params[customer][first_name]'. Dit maakt het mogelijk voor geverifieerde aanvallers, met toegang op abonneeniveau en hoger, om bevoorrechte boekingsgegevens te extraheren, waaronder het admin_Notes-veld alleen voor beheerders, interne contactgegevens van toegewezen agenten, transactietokens en URL's voor betalingsverzoeken die worden afgeleverd via weergegeven notificatie-e-mails. Een LatePoint-klant kan dit benutten door een tijdelijke aanduiding voor een sjabloon zoals {{customer_admin_notes}} op te slaan in zijn eigen first_name-veld via de customer_Cabinet__ update-route en vervolgens de e-mailstroom voor het opnieuw instellen van het wachtwoord te activeren om de uitgebreide waarde in de resulterende melding te ontvangen.
Origineel (Engels) tonen
The Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 5.7.3 via the 'params[customer][first_name]' parameter. This makes it possible for authenticated attackers, with subscriber-level access and above, to extract privileged booking data including the administrator-only admin_notes field, assigned agent internal contact details, transaction tokens, and payment request URLs delivered via rendered notification emails. A LatePoint customer can exploit this by storing a template placeholder such as {{customer_admin_notes}} in their own first_name field via the customer_cabinet__update route, then triggering the password-reset email flow to receive the expanded value in the resulting notification.