CVE-2026-5234

إصدارات LatePoint السابقة للإصدار 5.3.3

يوجد «إشارة مباشرة غير آمنة إلى كائن» (Insecure Direct Object Reference) بسبب تسجيل الدالة OsStripeConnectController::create payment intent for transaction() كإجراء عام لا يتطلب أي مصادقة. يقوم النظام بتحميل الفواتير باستخدام قيم invoice id الصحيحة المتسلسلة دون التحقق من الملكية أو طلب مفتاح وصول. وهذا يسمح للمهاجمين غير المصادق عليهم بتعداد معرّفات الفواتير الصالحة من خلال رسائل الخطأ وإنشاء سجلات نوايا معاملات غير مصرح بها تحتوي على بيانات مالية حساسة، بما في ذلك invoice id وorder id وcustomer id وcharge amount. بالإضافة إلى ذلك، في المواقع التي تستخدم Stripe Connect، تتسرب من الاستجابة رموز payment intent client secret وقيم transaction intent key ومبالغ الدفع لأي فاتورة.

قم بالتحديث إلى إصدار أحدث من 5.3.2.