CVE-2026-118066
KrytyczneCVSS 9.1Streszczenie
Wtyczka LatePoint dla WordPressa w wersjach do 5.7.6 włącznie jest podatna na obejście uwierzytelniania i przejęcie konta. Funkcja OsModel::build_conditions_query() porównuje wartości klauzuli WHERE z literałami 'IS NULL' i 'IS NOT NULL' i konkatenuje dopasowanie bezpośrednio do SQL bez parametryzacji, co pozwala nieuwierzytelnionemu atakującemu wysłać params[password_reset_token]=IS NOT NULL do publicznej trasy AJAX customer_cabinet__change_password i zmienić hasło klienta o najniższym ID.
Ocena ryzyka
Atakujący może przejąć dostęp do rezerwacji, zamówień i danych osobowych klientów, a przy włączonej opcji wp_users_as_customers także do powiązanego konta WordPress.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 5.7.6 i wymuś reset haseł dla kont klientów, które mogły zostać dotknięte.
Inne podatności w LatePoint
Zobacz wszystkie- CVE-2026-5356Wysokie
Wtyczka LatePoint dla WordPressa do 5.4.0 zawiera podatność na nieprawidłową walidację danych wejściowych w procesorze płatności Stripe Connect. Pozwala to nieuwierzytelnionym atakującym na zapłacenie dowolnej kwoty poprzez dostarczenie wcześniej udanego tokena PaymentIntent.
- CVE-2026-110653Krytyczne
Wtyczka LatePoint dla WordPressa w wersjach do 5.7.4 włącznie jest podatna na obejście uwierzytelniania poprzez warunek wyścigu (race condition) w funkcji verifyOTP. Licznik prób weryfikacji OTP jest aktualizowany nieatomowo, bez warunku WHERE attempts < 10 i bez blokady wiersza, co tworzy okno TOCTOU pozwalające równoległym żądaniom obejść limit 10 prób.
- CVE-2026-57714Krytyczne
Wtyczka LatePoint dla WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) spowodowane niewłaściwą neutralizacją specjalnych elementów w zapytaniach SQL. Problem dotyczy wersji do 5.6.3 włącznie.
- CVE-2026-119152Średnie
Wtyczka Appointment Booking Plugin – LatePoint | Calendar & Scheduling dla WordPressa w wersjach do 5.7.6 włącznie jest podatna na Stored Cross-Site Scripting poprzez parametr 'customer[email] (wewnątrz params)' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelnieni atakownicy mogą wstrzyknąć dowolne skrypty internetowe do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę. Nieuwierzytelniony odwiedzający może to wykorzystać, rejestrując się jako klient LatePoint poprzez publiczny formularz rezerwacji – otrzymując aktywną sesję klienta bez konta WordPress – a następnie przesyłając adres e-mail z cudzysłowem w części lokalnej zawierający ładunek HTML (np. tag bez spacji), który przechodzi FILTER_VALIDATE_EMAIL, ale jest przechowywany i renderowany bez escapowania.
- CVE-2026-103366Wysokie
Wtyczka Appointment Booking Plugin – LatePoint dla WordPressa jest podatna na niezabezpieczone bezpośrednie odwołanie do obiektu (IDOR) w wersjach do 5.7.3 włącznie, poprzez parametry `booking[id]` i `cart[id]` na publicznych trasach `steps__reload_booking_form_summary_panel` i `steps__start`. Brak kontroli właściciela pozwala nieuwierzytelnionym atakującym wyliczać identyfikatory rezerwacji i koszyków oraz odczytywać dane innych klientów, w tym szczegóły wizyt i zawartość koszyka, bezpośrednio z odpowiedzi JSON.
- CVE-2026-100163Wysokie
Wtyczka Appointment Booking Plugin – LatePoint dla WordPressa jest podatna na obejście uwierzytelniania w wersjach do 5.7.2 włącznie, poprzez helper OsCustomerHelper::create_wp_user_for_customer() osiągalny z publicznego kroku rezerwacji process_step_customer(). Gdy opcja 'Use WordPress users as customers' jest włączona, helper dopasowuje użytkownika WordPressa po user_login równym e-mailowi ofiary, nawet jeśli user_email jest inny, i wiąże jego ID z rekordem klienta LatePoint ofiary. Umożliwia to uwierzytelnionym atakującym z poziomem Subscriber przejęcie konta innego klienta LatePoint.
- CVE-2026-104766Wysokie
Wtyczka LatePoint dla WordPressa do wersji 5.7.3 włącznie jest podatna na eskalację uprawnień. Brak listy dozwolonych nazw i wartości ustawień oraz brak walidacji roli dla ustawienia 'default_wp_role_for_customer' umożliwia uwierzytelnionym atakującym z uprawnieniem 'settings__edit' (np. agentom) nadpisanie domyślnej roli WordPressa na 'administrator', co powoduje tworzenie nowych kont klientów z pełnymi uprawnieniami administratora.
- CVE-2026-17538Średnie
Wtyczka LatePoint dla WordPressa do wersji 5.6.9 włącznie jest podatna na niebezpieczne bezpośrednie odwołania do obiektów (IDOR). Funkcja process_step_customer() używa wyłącznie is_user_logged_in() jako zabezpieczenia przed scalaniem danych POST z istniejącym klientem LatePoint, bez sprawdzania własności. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber lub wyższym modyfikację danych osobowych dowolnych klientów LatePoint, a przy ustawieniu contact_merge na 'phone' nadpisanie adresu e-mail ofiary i przejęcie konta przez reset hasła.
- CVE-2026-13471Średnie
Wtyczka LatePoint – Calendar Booking Plugin for Appointments and Events dla WordPressa jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 5.6.3 włącznie przez funkcję LatePointAbilityDeleteBooking::execute z powodu braku walidacji kontrolowanego przez użytkownika klucza. Atakujący z dostępem na poziomie LatePoint Agent i wyższym mogą odczytywać rezerwacje i dane osobowe klientów (imię, nazwisko, email, telefon, notatki) przypisane do innych agentów oraz usuwać dowolne rezerwacje. Podatność jest wykorzystywana tylko gdy administrator włączy przełączniki Abilities API.
- CVE-2026-18441Średnie
Wtyczka Appointment Booking Plugin – LatePoint | Calendar & Scheduling dla WordPressa jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 5.6.9 włącznie, przez funkcję set_customer_object z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to nieuwierzytelnionym atakującym enumerację dowolnych rekordów klientów i ujawnienie danych osobowych (imię, nazwisko, adres e-mail, numer telefonu) poprzez iterację parametru customer[id]. Problem występuje tylko, gdy witryna ma wyłączone uwierzytelnianie klientów (włączony guest checkout).
Oryginalny opis (angielski, źródło NVD)
The Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress plugin for WordPress is vulnerable to Authentication Bypass via Account Takeover in all versions up to, and including, 5.7.6. This is due to the `OsModel::build_conditions_query()` function in `lib/models/model.php` comparing WHERE-clause values against the literal strings `'IS NULL'` and `'IS NOT NULL'` and concatenating a match directly into SQL without binding it as a parameter, a flaw that neither `sanitize_text_field()` nor the 5.7.5 `is_scalar()` hardening guard closes, since both pass the scalar sentinel through unchanged. This makes it possible for unauthenticated attackers to send `params[password_reset_token]=IS NOT NULL` to the public `customer_cabinet__change_password` AJAX route to match every non-null `account_nonse` value, resolving to the lowest-id customer and overwriting that customer's password to an attacker-chosen value — granting full access to their bookings, orders, and PII, and, when the `wp_users_as_customers` option is enabled, takeover of the linked WordPress subscriber or customer-role account. The attacker can first identify the target customer's email by sending `params[order_intent_key]=IS NOT NULL` to the public `steps__start_from_order_intent` route, which returns the name and email from the first matching order intent, and can then self-arm the required 15-minute password-reset freshness window by triggering a reset for that customer directly.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS