漏洞速览
- 漏洞编号：
CVE-2026-103366 - 风险评分：
7.5（高危） - 首次披露：2026-10-13
- 最近更新：2026-10-13
- 软件类型：插件
- 软件标识：
latepoint - 受影响版本：<= 5.7.3
- 修复版本：5.7.4
- 是否已修复：是
漏洞详情
Appointment Booking Plugin – LatePoint（WordPress 日历与预约排程插件）在 5.7.3 及之前版本中存在一个不安全的直接对象引用（IDOR）漏洞。该漏洞位于公开路由 steps__reload_booking_form_summary_panel 和 steps__start 上（可通过 wp_ajax_nopriv_latepoint_route_call 访问），攻击者可通过 booking[id] 和 cart[id] 参数加以利用。问题根源在于 OsStepsHelper::set_required_objects() 将原始请求参数直接传入 set_booking_object() 和 set_cart_object()，而这两个方法调用 OsModel::set_data() 时仅按主键加载任意预约或购物车记录，并未进行所有权校验——此前披露漏洞时厂商添加的所有权保护仅存在于 OsStepsHelper::load_step() 中，对上述两个路由及 cart[id] 参数完全不生效。因此，未认证攻击者可以通过遍历顺序递增的预约或购物车 ID，读取其他客户的预约详情（服务名称、客服人员、日期时间、时长、价格明细、状态）以及他人的待结算购物内容，这些信息均可直接从 JSON 响应中获取。
影响与风险
- 漏洞类型：Insecure Direct Object Reference to Unauthenticated Sensitive Information Disclosure via 'booking[id]' and 'cart[id]' Parameters
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：churchill11
修复建议
- 按官方建议执行修复：更新至 5.7.4 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
