WordPress · Latepoint – Calendar Booking Plugin For Appointments/Events · CVE-2025-3769
Nome do Software Vulnerável e Versões Afetadas:
LatePoint – Plugin de Agendamento de Calendário para Compromissos e Eventos para WordPress, versões até e incluindo a 5.1.92
Descrição:
A falha permite que atacantes não autenticados recuperem detalhes de agendamentos, como nomes de clientes e endereços de e-mail, devido à falta de validação em uma chave controlada pelo usuário no endpoint 'view booking summary in lightbox'. Isso possibilita que atacantes acessem informações sensíveis sem a devida autorização.
Recomendações:
Para as versões até e incluindo a 5.1.92, considere desativar o recurso `view booking summary in lightbox` até que um patch esteja disponível, a fim de prevenir o acesso não autorizado aos detalhes dos agendamentos. Restrinja o acesso a informações sensíveis implementando a devida validação em chaves controladas pelo usuário para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.