CVE-2026-13228

LatePoint – المكون الإضافي لحجز المواعيد والفعاليات في التقويم، الإصدارات الأقدم من 5.6.4

يوجد ثغرة «الإشارة المباشرة غير الآمنة إلى الكائنات» (IDOR) في دالة create or update() التابعة لـ OsOrdersController. وهذا يسمح لوكيل معتمد بتقديم قيمة order[customer id] تعسفية والكتابة فوق حقل البريد الإلكتروني لأي عميل، بما في ذلك العملاء المرتبطون بحسابات مسؤولي WordPress، عبر استدعاء الدالة set data() ذات النطاق العام. ونظرًا لعدم وجود التحقق من الدور في OsAuthHelper::authorize customer()، يتم تسجيل دخول مستخدم WordPress المرتبط دون التحقق من الدور، مما يمكّن المهاجمين الذين يتمتعون بوصول على مستوى الوكيل أو أعلى من رفع امتيازاتهم إلى مستوى المسؤول.

قم بتحديث المكون الإضافي إلى الإصدار 5.6.4 أو أحدث.