CVE-2026-12657

Nome do Software Vulnerável e Versões Afetadas LatePoint – Calendar Booking Plugin for Appointments and Events versões anteriores a 5.6.3

Descrição Existe uma Referência Direta Insegura a Objetos (IDOR) devido à falta de validação em uma chave controlada pelo usuário. Isso permite que invasores não autenticados criem agendamentos aprovados para serviços restritos a administradores e agentes, consumindo a capacidade de agendamento restrita. O problema é explorável através do parâmetro service id via o parâmetro params[booking][service id] no endpoint 'steps load step' e o parâmetro presets[selected service] no endpoint 'steps start'.

Recomendações Atualize o LatePoint – Calendar Booking Plugin for Appointments and Events para a versão 5.6.3 ou posterior. Restrinja o acesso aos endpoints 'steps load step' e 'steps start' para minimizar o risco de agendamentos não autorizados.