Podatności Appointment Booking Plugin – LatePoint

Wtyczka Appointment Booking Plugin – LatePoint dla WordPressa do wersji 5.7.0 włącznie jest podatna na wykonanie dowolnych shortcode'ów. Atakujący bez uwierzytelnienia może umieścić złośliwy shortcode podczas procesu rezerwacji, który zostanie wykonany po wyrenderowaniu przez komponent Customer Cabinet.

Wtyczka Appointment Booking Plugin – LatePoint dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 5.7.3 włącznie, poprzez parametr 'params[customer][first_name]'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą wyodrębnić poufne dane rezerwacji, w tym pole admin_notes, wewnętrzne dane kontaktowe agenta, tokeny transakcji i adresy URL żądań płatności.

Wtyczka Appointment Booking Plugin – LatePoint | Calendar & Scheduling dla WordPressa jest podatna na ogólny SQL Injection przez parametr 'booking[service_id]' w wersjach do 5.7.2 włącznie z powodu niewystarczającego eskejpowania danych i braku przygotowania zapytań SQL. Niezalogowani atakujący mogą dołączać dodatkowe zapytania SQL, co pozwala na wyodrębnienie wrażliwych informacji z bazy danych.

Wtyczka Appointment Booking Plugin – LatePoint dla WordPressa jest podatna na niebezpieczne bezpośrednie odwołania do obiektów / brak autoryzacji w wersjach do 5.7.2 włącznie. Nieuwierzytelnieni atakujący mogą tworzyć zatwierdzone wizyty dotyczące pozycji zamówień innych klientów oraz odczytywać ich dane osobowe.