CVE-2026-110653
KrytyczneCVSS 9.1Streszczenie
Wtyczka LatePoint dla WordPressa w wersjach do 5.7.4 włącznie jest podatna na obejście uwierzytelniania poprzez warunek wyścigu (race condition) w funkcji verifyOTP. Licznik prób weryfikacji OTP jest aktualizowany nieatomowo, bez warunku WHERE attempts < 10 i bez blokady wiersza, co tworzy okno TOCTOU pozwalające równoległym żądaniom obejść limit 10 prób.
Ocena ryzyka
Nieuwierzytelniony atakujący znający e-mail lub numer telefonu klienta może brute-force'ować 6-cyfrowy kod OTP i przejąć jego konto wraz z rezerwacjami i danymi osobowymi.
Rekomendacja
Zaktualizuj wtyczkę LatePoint do wersji nowszej niż 5.7.4, a do czasu aktualizacji rozważ ograniczenie dostępu do endpointu auth__verify_otp lub włączenie dodatkowego limitu na poziomie serwera WWW.
Inne podatności w LatePoint
Zobacz wszystkie- CVE-2026-5356Wysokie
Wtyczka LatePoint dla WordPressa do 5.4.0 zawiera podatność na nieprawidłową walidację danych wejściowych w procesorze płatności Stripe Connect. Pozwala to nieuwierzytelnionym atakującym na zapłacenie dowolnej kwoty poprzez dostarczenie wcześniej udanego tokena PaymentIntent.
- CVE-2026-57714Krytyczne
Wtyczka LatePoint dla WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) spowodowane niewłaściwą neutralizacją specjalnych elementów w zapytaniach SQL. Problem dotyczy wersji do 5.6.3 włącznie.
- CVE-2026-103366Wysokie
Wtyczka Appointment Booking Plugin – LatePoint dla WordPressa jest podatna na niezabezpieczone bezpośrednie odwołanie do obiektu (IDOR) w wersjach do 5.7.3 włącznie, poprzez parametry `booking[id]` i `cart[id]` na publicznych trasach `steps__reload_booking_form_summary_panel` i `steps__start`. Brak kontroli właściciela pozwala nieuwierzytelnionym atakującym wyliczać identyfikatory rezerwacji i koszyków oraz odczytywać dane innych klientów, w tym szczegóły wizyt i zawartość koszyka, bezpośrednio z odpowiedzi JSON.
- CVE-2026-100163Wysokie
Wtyczka Appointment Booking Plugin – LatePoint dla WordPressa jest podatna na obejście uwierzytelniania w wersjach do 5.7.2 włącznie, poprzez helper OsCustomerHelper::create_wp_user_for_customer() osiągalny z publicznego kroku rezerwacji process_step_customer(). Gdy opcja 'Use WordPress users as customers' jest włączona, helper dopasowuje użytkownika WordPressa po user_login równym e-mailowi ofiary, nawet jeśli user_email jest inny, i wiąże jego ID z rekordem klienta LatePoint ofiary. Umożliwia to uwierzytelnionym atakującym z poziomem Subscriber przejęcie konta innego klienta LatePoint.
- CVE-2026-104766Wysokie
Wtyczka LatePoint dla WordPressa do wersji 5.7.3 włącznie jest podatna na eskalację uprawnień. Brak listy dozwolonych nazw i wartości ustawień oraz brak walidacji roli dla ustawienia 'default_wp_role_for_customer' umożliwia uwierzytelnionym atakującym z uprawnieniem 'settings__edit' (np. agentom) nadpisanie domyślnej roli WordPressa na 'administrator', co powoduje tworzenie nowych kont klientów z pełnymi uprawnieniami administratora.
- CVE-2026-17538Średnie
Wtyczka LatePoint dla WordPressa do wersji 5.6.9 włącznie jest podatna na niebezpieczne bezpośrednie odwołania do obiektów (IDOR). Funkcja process_step_customer() używa wyłącznie is_user_logged_in() jako zabezpieczenia przed scalaniem danych POST z istniejącym klientem LatePoint, bez sprawdzania własności. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber lub wyższym modyfikację danych osobowych dowolnych klientów LatePoint, a przy ustawieniu contact_merge na 'phone' nadpisanie adresu e-mail ofiary i przejęcie konta przez reset hasła.
- CVE-2026-13471Średnie
Wtyczka LatePoint – Calendar Booking Plugin for Appointments and Events dla WordPressa jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 5.6.3 włącznie przez funkcję LatePointAbilityDeleteBooking::execute z powodu braku walidacji kontrolowanego przez użytkownika klucza. Atakujący z dostępem na poziomie LatePoint Agent i wyższym mogą odczytywać rezerwacje i dane osobowe klientów (imię, nazwisko, email, telefon, notatki) przypisane do innych agentów oraz usuwać dowolne rezerwacje. Podatność jest wykorzystywana tylko gdy administrator włączy przełączniki Abilities API.
- CVE-2026-18441Średnie
Wtyczka Appointment Booking Plugin – LatePoint | Calendar & Scheduling dla WordPressa jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 5.6.9 włącznie, przez funkcję set_customer_object z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to nieuwierzytelnionym atakującym enumerację dowolnych rekordów klientów i ujawnienie danych osobowych (imię, nazwisko, adres e-mail, numer telefonu) poprzez iterację parametru customer[id]. Problem występuje tylko, gdy witryna ma wyłączone uwierzytelnianie klientów (włączony guest checkout).
- CVE-2026-5391Średnie
Wtyczka LatePoint dla WordPress jest podatna na Stored Cross-Site Scripting przez atrybut 'btn_wrapper_classes' shortcode'u 'latepoint_resources' we wszystkich wersjach do 5.3.2 włącznie. Jest to spowodowane niewystarczającą sanityzacją wejścia i brakiem escapingu wyjścia w gałęzi 'locations' funkcji 'shortcode_latepoint_resources'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributora i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-11398Średnie
Wtyczka LatePoint do WordPressa do wersji 5.6.1 włącznie zawiera podatność na obejście autoryzacji. Niezautoryzowani atakujący mogą modyfikować dane osobowe (imię, nazwisko, numer telefonu i notatki) istniejących klientów, w tym kont administratorów, poprzez przesłanie formularza rezerwacji ze znanym adresem e-mail. Warunkiem jest włączenie opcji rezerwacji gościnnych.
Oryginalny opis (angielski, źródło NVD)
The Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress plugin for WordPress is vulnerable to Authentication Bypass via Race Condition in all versions up to, and including, 5.7.4. This is due to a non-atomic read-modify-write on the OTP verification attempts counter in the `verifyOTP` function: the counter is incremented using a stale in-memory value with no conditional `WHERE attempts < 10` guard on the `UPDATE` and no `SELECT ... FOR UPDATE` row lock, creating a TOCTOU window that allows concurrent requests to bypass the 10-attempt lockout. This makes it possible for unauthenticated attackers — who know a target customer's registered email address or phone number — to fire concurrent requests to the `auth__verify_otp` endpoint, defeat the lockout cap, brute-force the 6-digit OTP code, and authenticate as the targeted LatePoint customer, gaining full access to their account, bookings, and personal data. The nonce check present on the endpoint (`otp_verify_otp_nonce`) does not mitigate this issue, as the nonce is publicly emitted by the unauthenticated `request_otp` and `resend_otp` endpoints and is trivially obtainable by any unauthenticated attacker prior to launching the race.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS