CVE-2026-13471

Nome do Software Vulnerável e Versões Afetadas LatePoint – Calendar Booking Plugin for Appointments and Events versões anteriores a 5.6.4

Description Uma Referência Direta Insegura a Objeto (IDOR) existe na função LatePointAbilityDeleteBooking::execute devido à falta de validação em uma chave controlada pelo usuário. Atacantes com nível de acesso de Agente LatePoint ou superior podem ler reservas e informações de identificação pessoal (PII) de clientes, incluindo nomes completos, e-mails, números de telefone e notas atribuídas a outros agentes. Além disso, podem excluir reservas arbitrárias fornecendo qualquer ID de reserva. Este problema só é explorável se um administrador tiver ativado as opções da API de Habilidades latepoint abilities api, latepoint abilities api delete e/ou latepoint abilities api edit nas configurações do plugin.

Recommendations Atualize o plugin para a versão 5.6.4 ou posterior. Desative as opções latepoint abilities api, latepoint abilities api delete e latepoint abilities api edit nas configurações do plugin como uma medida de mitigação temporária.