CVE.org (henüz NVD analizi yok)· CNA Wordfence

CVE-2026-103366: Appointment Booking Plugin <= 5.7.3 - Insecure Direct Object Reference to Unauthenticated Sensitive Information Disclosure via 'booking[id]' and 'cart[id]' Para

Noroxi değerlendirmesi

Öncelik: İzleyin (aksiyon skoru 30/100)

İzlediğimiz kaynaklarda (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) herkese açık istismar kodu ya da sahada sömürü kaydı yok.
Önümüzdeki 30 günde sömürülme olasılığı %0,47 (FIRST EPSS).
İnternetten erişebilen herkes tetikleyebilir. Hesap ya da parola gerekmez. Kullanıcının bir şey yapması gerekmez. Özel bir koşul gerekmez; tekrarlanabilir.
CISA'ya göre saldırı otomatikleştirilebilir: toplu taramalarla hedef bulunabilir.
Kayda göre henüz düzeltme sürümü yok.

Şimdilik düşük öncelik. Düzeltme yayımlandığında güncelleyin; üreticinin duyurusunu izleyin.

Kaydın verisinden otomatik üretilir: CVSS (NVD ve CNA), CISA KEV ve SSVC, FIRST EPSS, istismar kaynakları, düzeltme sürümleri. Nasıl hesaplıyoruz

Birincil kaynaklar: NVD · CVE.org · FIRST EPSS

The Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress plugin for WordPress is vulnerable to Insecure Direct Object Reference in versions up to, and including, 5.7.3 via the `booking[id]` and `cart[id]` parameters on the `steps__reload_booking_form_summary_panel` and `steps__start` public routes (reachable through wp_ajax_nopriv_latepoint_route_call). This is due to `OsStepsHelper::set_required_objects()` feeding raw request parameters into `set_booking_object()` and `set_cart_object()`, which call `OsModel::set_data()` and load an arbitrary booking or cart row by primary key with no ownership check — the ownership guard the vendor added for the earlier disclosure lives only inside `OsStepsHelper::load_step()` and does not cover the sibling routes or `cart[id]` at all. This makes it possible for unauthenticated attackers to enumerate sequential booking / cart identifiers and read other customers' appointment details (service name, agent, date/time, duration, price breakdown, status) and other shoppers' pending checkout contents directly from the JSON responses.

YüksekCVSS 7.5 · v3.1—İstismar yok Düzeltme kaydı yok

EUVD-2026-100901

Yayın: 14 Eki 2026
Güncelleme: 15 Eki 2026
EPSS: %0,4 · 41. yüzdelik
CWE: CWE-639

Rapor araçları

JSON

Aksiyon skoru

İzleyin

Şimdilik düşük öncelik.

CVSS: 30 / 40 · 7.5 / 10
CISA KEV: 0 / 30 · Listede değil
EPSS: 0 / 30 · %0,4

CISA SSVC kararı

Sömürü: yok
Otomatikleştirilebilir: evet
Teknik etki: kısmi

Vulnrichment: CISA'nın karar ağacı girdileri.

CNA ile NVD puanı

NVD: —
CNA · Wordfence: 7,5; NVD henüz kendi puanını vermedi; gösterilen puan CNA’nın.

Kaydı açan otoritenin puanı ile NVD’nin bağımsız puanı. İki puan arasındaki fark ciddiyetin tartışmalı olduğunu gösterir.

Sitenizde Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress var mı?

WP Lens sitenizin eklenti, tema ve WordPress sürümlerini dışarıdan okur, bilinen açıklarla eşleştirir. Hesapsız da çalışır.

Bunlardan biri değişirse günlük e-posta özetinde haber veririz.

Sürümünüz etkileniyor mu? Kontrol edin

Noroxi analizi

Sizin ortamınızda ne anlama geliyor?

Yukarıdaki değerlendirme kaydın verisinden otomatik üretilir; ortamınızı bilmez. Bu açığın sizde gerçekten sömürülebilir olup olmadığını ve hangi önlemin yeteceğini ekibimiz sizin sistemlerinizde doğrular.

Bu ürünü kullanıyoruz, yardım isteyin

Etkilenen sistemler

Sürümünüz etkileniyor mu?

Ürünü seçip kullandığınız sürümü yazın. Bu kaydın sürüm aralıklarıyla tarayıcınızda karşılaştırılır; sürüm hiçbir yere gönderilmez.

—

Üreticinin bildirdiği sürümler

Kaydı açan otorite (Wordfence) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.

latepoint Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress
- 5.7.3 dahil öncesietkilenir · semver

Aynı üründe

latepoint: tüm kayıtlar

Aynı birincil ürünün en yüksek skorlu diğer kayıtları.

CVE-2026-110653Appointment Booking Plugin <= 5.7.4 - Unauthenticated Authentication Bypass via Race Condition on OTP Attempts Counter
36İzleyin
CVE-2026-92966Appointment Booking Plugin <= 5.7.0 - Unauthenticated Arbitrary Shortcode Execution via First/Last Name Field
36İzleyin
CVE-2026-104766Appointment Booking Plugin <= 5.7.3 - Authenticated (Custom+) Privilege Escalation to 'settings[default_wp_role_for_customer]' Parameter
35İzleyin

Bu üründe bundan önce ve sonra yayımlananlar

← ÖncekiCVE-2026-9666210 Eki 2026 · Appointment Booking Plugin <= 5.7.2 - Unauthenticated SQL Injection via 'booking[service_id]' Parameter
30İzleyin
← ÖncekiCVE-2026-10016314 Eki 2026 · Appointment Booking Plugin <= 5.7.2 - Unauthenticated Authentication Bypass to Customer Account Takeover via Insufficient Verification in create_wp_user_for_cus
29İzleyin
Sonraki →CVE-2026-10338014 Eki 2026 · Appointment Booking Plugin <= 5.7.3 - Authenticated (Subscriber+) Sensitive Information Exposure in 'first_name' Parameter Template Re-expansion
17İzleyin

Düzeltme

Hangi sürüme geçmeli

Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.

Bu kayıt için kayıtlı bir düzeltme sürümü yok. Üretici bildirimleri için referanslara bakın.

İstismar durumu

Bilinen kamuya açık istismar yok

Şu an kamuya açık bir istismar görülmedi. Bu, güvende olduğunuz anlamına gelmez; yalnızca eşiğin biraz daha yüksek olduğunu gösterir.

Araştırma bağlamı

Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.

Zaman çizelgesi

Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.

Yayın dışında tarihli olay yok.

EPSS son 120 gün

FIRST EPSS günlük puanı; yalnızca 0,01 ve üstü değişimler kaydedilir (adım grafiği).

Yama ve commit bağlantıları

Referanslardaki commit, PR ve diff adresleri. Patch-diff ve varyant avı için başlangıç noktası; istismar değil, düzeltmedir.

Referanslarda commit ya da PR bağlantısı yok.

Kredi

Tüm araştırmacılar

CNA kaydında adı geçen bulan, bildiren ve analistler. Ada tıklayın, aynı araştırmacının diğer kayıtlarını görün.

churchill11bulan

Varyant adayları

Aynı üründe aynı zafiyet sınıfı, 18 ay içinde. Yama kök nedeni kapatmadıysa kardeş hata burada olur.

CVE-2026-175386 gün araylaAppointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress <= 5.6.9 - Authenticated (Subscriber+) Insecure Direct Object Reference to Arbitrar
21İzleyin
CVE-2026-9443212 gün araylaAppointment Booking Plugin <= 5.7.1 - Insecure Direct Object Reference to Unauthenticated Unauthorized Transaction Intent Creation/Modification and Invoice Enum
21İzleyin
CVE-2026-910504 gün araylaAppointment Booking Plugin <= 5.7.2 - Insecure Direct Object Reference to Authenticated (Subscriber+) Unauthorized Booking Creation and Sensitive Information Di
17İzleyin
CVE-2026-1347126 gün araylaLatePoint <= 5.6.3 - Authenticated (Custom+) Insecure Direct Object Reference to Arbitrary Booking Deletion and Customer/Booking Data Disclosure via Abilities R
17İzleyin
CVE-2026-1844127 gün araylaLatePoint - Appointment Booking & Scheduling <= 5.6.9 - Unauthenticated Insecure Direct Object Reference to Sensitive Information Disclosure via 'customer[id]'
17İzleyin

Zincir adayları

Aynı üründe kimlik doğrulama atlatma ile yetki isteyen bir açık kısa aralıkla yayımlanmış: birlikte kimlik doğrulamasız bir yola dönüşebilir.

—

Bug bounty kapsamı

Bilinen herkese açık program yok.

Kaynak: bounty-targets-data (HackerOne, Bugcrowd, Intigriti, YesWeHack herkese açık listeleri).

Teknik detay

Saldırı koşulları

İnternetten erişebilen herkes tetikleyebilir.
Hesap ya da parola gerekmez.
Kullanıcının bir şey yapması gerekmez.
Özel bir koşul gerekmez; tekrarlanabilir.

Başarılı olursa

Gizlilik: yüksek · veriler okunabilir
Bütünlük: yok
Erişilebilirlik: yok

Saldırı vektörü: Ağ
Karmaşıklık: Düşük
Gereken yetki: Yok
Kullanıcı etkileşimi: Gerekmez
Kapsam: Değişmez
Gizlilik etkisi: Yüksek
Bütünlük etkisi: Yok
Erişilebilirlik etkisi: Yok

Zayıflık sınıfı (CWE)

CWE-639 · Authorization Bypass Through User-Controlled Key

CVSS vektörü

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

nvd-secondary

Kök neden

Uç nokta kaydı istekte gelen kimlikle getiriyor, ama kaydın isteyen kullanıcıya ait olup olmadığını sormuyor.

Hatanın kod karşılığı

CWE-639 sınıfının tamamı

Bu zafiyet sınıfının temsili örneği. Üreticinin kaynak kodu değildir; hatalı kalıbı ve düzeltmesini gösterir.

Hatalı

1const invoice = await Invoice.findById(req.params.id);
2res.json(invoice);

Düzeltilmiş

1const invoice = await Invoice.findOne({
2  id: req.params.id,
3  ownerId: req.user.id,
4});
5if (!invoice) return res.sendStatus(404);
6res.json(invoice);

Saldırı bağlamı

Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.

Bu CWE için MITRE'de CAPEC/ATT&CK eşlemesi yok.

Değişiklik günlüğü

SSVC sömürü— → none15 Eki 2026 18:07 UTC
İstismar olgunluğu— → none14 Eki 2026 09:07 UTC

Takip ettiğiniz kayıtlarda bu değişiklikler bildirim olarak da gelir. →

Referanslar

plugins.trac.wordpress.org/browser/latepoint/tags/5.7.3/latepoint.php#L1072

Tüm referansları göster (8 daha)

Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.

Tüm kayıtlar