CVE-2026-13471
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Wtyczka LatePoint – Calendar Booking Plugin for Appointments and Events dla WordPressa jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 5.6.3 włącznie przez funkcję LatePointAbilityDeleteBooking::execute z powodu braku walidacji kontrolowanego przez użytkownika klucza. Atakujący z dostępem na poziomie LatePoint Agent i wyższym mogą odczytywać rezerwacje i dane osobowe klientów (imię, nazwisko, email, telefon, notatki) przypisane do innych agentów oraz usuwać dowolne rezerwacje. Podatność jest wykorzystywana tylko gdy administrator włączy przełączniki Abilities API.
Ocena ryzyka
Atakujący może naruszyć prywatność klientów, uzyskując dostęp do ich danych osobowych, oraz zakłócić działanie systemu rezerwacji poprzez usuwanie rezerwacji. Może to prowadzić do naruszenia RODO i utraty zaufania.
Rekomendacja
Zaktualizuj wtyczkę LatePoint do najnowszej wersji z poprawką. Jeśli nie jest wymagane, wyłącz przełączniki Abilities API w ustawieniach wtyczki.
Inne podatności w LatePoint
Zobacz wszystkie- CVE-2026-5356Wysokie
Wtyczka LatePoint dla WordPressa do 5.4.0 zawiera podatność na nieprawidłową walidację danych wejściowych w procesorze płatności Stripe Connect. Pozwala to nieuwierzytelnionym atakującym na zapłacenie dowolnej kwoty poprzez dostarczenie wcześniej udanego tokena PaymentIntent.
- CVE-2026-57714Krytyczne
Wtyczka LatePoint dla WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) spowodowane niewłaściwą neutralizacją specjalnych elementów w zapytaniach SQL. Problem dotyczy wersji do 5.6.3 włącznie.
- CVE-2026-18441Średnie
Wtyczka Appointment Booking Plugin – LatePoint | Calendar & Scheduling dla WordPressa jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 5.6.9 włącznie, przez funkcję set_customer_object z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to nieuwierzytelnionym atakującym enumerację dowolnych rekordów klientów i ujawnienie danych osobowych (imię, nazwisko, adres e-mail, numer telefonu) poprzez iterację parametru customer[id]. Problem występuje tylko, gdy witryna ma wyłączone uwierzytelnianie klientów (włączony guest checkout).
- CVE-2026-5391Średnie
Wtyczka LatePoint dla WordPress jest podatna na Stored Cross-Site Scripting przez atrybut 'btn_wrapper_classes' shortcode'u 'latepoint_resources' we wszystkich wersjach do 5.3.2 włącznie. Jest to spowodowane niewystarczającą sanityzacją wejścia i brakiem escapingu wyjścia w gałęzi 'locations' funkcji 'shortcode_latepoint_resources'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributora i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-11398Średnie
Wtyczka LatePoint do WordPressa do wersji 5.6.1 włącznie zawiera podatność na obejście autoryzacji. Niezautoryzowani atakujący mogą modyfikować dane osobowe (imię, nazwisko, numer telefonu i notatki) istniejących klientów, w tym kont administratorów, poprzez przesłanie formularza rezerwacji ze znanym adresem e-mail. Warunkiem jest włączenie opcji rezerwacji gościnnych.
- CVE-2026-12657Średnie
Wtyczka LatePoint do WordPressa do wersji 5.6.2 włącznie zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) przez parametr 'service_id'. Brak walidacji kontrolowanego przez użytkownika klucza umożliwia nieuwierzytelnionym atakującym tworzenie zatwierdzonych rezerwacji na usługi przeznaczone wyłącznie dla administratorów i agentów.
- CVE-2026-49083Wysokie
Wersje LatePoint do 5.5.1 zawierają lukę, która pozwala na eskalację uprawnień dla współpracowników.
- CVE-2026-7652Średnie
Wtyczka LatePoint dla WordPressa do wersji 5.5.0 włącznie jest podatna na przejęcie konta poprzez słaby mechanizm odzyskiwania hasła w niezautoryzowanym przepływie rezerwacji gościa. Funkcja save_connected_wordpress_user() propaguje adres e-mail klienta LatePoint do powiązanego konta WordPress bez weryfikacji własności, a przepływ rezerwacji gościa umożliwia nadpisanie istniejącego adresu e-mail klienta przez scalanie oparte na telefonie bez uwierzytelniania.
Oryginalny opis (angielski, źródło NVD)
The LatePoint – Calendar Booking Plugin for Appointments and Events plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 5.6.3 via the LatePointAbilityDeleteBooking::execute due to missing validation on a user controlled key. This makes it possible for attackers, with LatePoint Agent-level access and above, to read bookings and customer PII (full name, email, phone, and notes) assigned to other LatePoint agents, and delete arbitrary bookings by supplying any booking ID. This vulnerability is only exploitable when an administrator has enabled the Abilities API toggles (latepoint_abilities_api, latepoint_abilities_api_delete, and/or latepoint_abilities_api_edit) in the plugin settings.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS