CVE-2026-18441

Nome do Software Vulnerável e Versões Afetadas LatePoint | Calendar & Scheduling for WordPress versões anteriores a 5.7.0

Descrição Existe uma Referência Direta Insegura a Objetos (IDOR) na função set customer object devido à falta de validação em uma chave controlada pelo usuário. Isso permite que atacantes não autenticados enumerem registros arbitrários de clientes e divulguem informações de identificação pessoal, como nome, sobrenome, endereço de e-mail e número de telefone, iterando o parâmetro customer[id]. Este problema é explorável apenas quando o site está configurado com a autenticação de clientes desativada (checkout de convidado ativado).

Recomendações Atualize o LatePoint | Calendar & Scheduling for WordPress para a versão 5.7.0 ou posterior. Como mitigação temporária, ative a autenticação de clientes para desativar o checkout de convidado.