CVE-2026-103366 Referencia directa insegura a objetos en el plugin Appointment Booking de WordPress

Qué es CVE-2026-103366

El plugin Appointment Booking (LatePoint) de WordPress, hasta la versión 5.7.3, es vulnerable a referencia directa insegura a objetos mediante los parámetros booking[id] y cart[id] en rutas públicas. Atacantes no autenticados pueden enumerar y acceder a reservas y carritos de otros usuarios por clave primaria, sin verificación de propiedad.

Productos y versiones afectadas

• latepoint Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress

  • hasta 5.7.3

Qué hacer

1. Verificá si usás Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.5 ALTA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

The Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress plugin for WordPress is vulnerable to Insecure Direct Object Reference in versions up to, and including, 5.7.3 via the `booking[id]` and `cart[id]` parameters on the `steps__reload_booking_form_summary_panel` and `steps__start` public routes (reachable through wp_ajax_nopriv_latepoint_route_call). This is due to `OsStepsHelper::set_required_objects()` feeding raw request parameters into `set_booking_object()` and `set_cart_object()`, which call `OsModel::set_data()` and load an arbitrary booking or cart row by primary key with no ownership check — the ownership guard the vendor added for the earlier disclosure lives only inside `OsStepsHelper::load_step()` and does not cover the sibling routes or `cart[id]` at all. This makes it possible for unauthenticated attackers to enumerate sequential booking / cart identifiers and read other customers' appointment details (service name, agent, date/time, duration, price breakdown, status) and other shoppers' pending checkout contents directly from the JSON responses.

Referencias

• www.wordfence.com/threat-intel/vulnerabilities/id/2f13d1ac-d1b4-4802-bee2-3622e84d7482?so…
• plugins.trac.wordpress.org/browser/latepoint/tags/5.7.3/lib/helpers/steps_helper.php#L1232
• plugins.trac.wordpress.org/browser/latepoint/tags/5.7.3/lib/helpers/steps_helper.php#L3228
• plugins.trac.wordpress.org/browser/latepoint/tags/5.7.3/lib/models/model.php#L580
• plugins.trac.wordpress.org/browser/latepoint/tags/5.7.3/lib/controllers/steps_controller…
• plugins.trac.wordpress.org/browser/latepoint/tags/5.7.3/lib/controllers/steps_controller…
• plugins.trac.wordpress.org/browser/latepoint/tags/5.7.3/lib/helpers/steps_helper.php#L234
• plugins.trac.wordpress.org/browser/latepoint/tags/5.7.3/latepoint.php#L1072
• plugins.trac.wordpress.org/changeset?reponame=&old=3728691%40latepoint&new=3728691%40late…

Historial de la alerta

1. 14 OCT · 07:09VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.