CVE-2026-17538
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Wtyczka LatePoint dla WordPressa do wersji 5.6.9 włącznie jest podatna na niebezpieczne bezpośrednie odwołania do obiektów (IDOR). Funkcja process_step_customer() używa wyłącznie is_user_logged_in() jako zabezpieczenia przed scalaniem danych POST z istniejącym klientem LatePoint, bez sprawdzania własności. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Subscriber lub wyższym modyfikację danych osobowych dowolnych klientów LatePoint, a przy ustawieniu contact_merge na 'phone' nadpisanie adresu e-mail ofiary i przejęcie konta przez reset hasła.
Ocena ryzyka
Atakujący może zmienić dane osobowe klientów, co narusza poufność i integralność danych. W skrajnym przypadku może przejąć konto ofiary, co prowadzi do nieautoryzowanego dostępu i potencjalnych dalszych ataków.
Rekomendacja
Zaktualizuj wtyczkę LatePoint do najnowszej wersji, która zawiera poprawkę. Dodatkowo zweryfikuj, czy ustawienie contact_merge nie jest ustawione na 'phone' i rozważ wdrożenie dodatkowych kontroli dostępu.
Inne podatności w LatePoint
Zobacz wszystkie- CVE-2026-5356Wysokie
Wtyczka LatePoint dla WordPressa do 5.4.0 zawiera podatność na nieprawidłową walidację danych wejściowych w procesorze płatności Stripe Connect. Pozwala to nieuwierzytelnionym atakującym na zapłacenie dowolnej kwoty poprzez dostarczenie wcześniej udanego tokena PaymentIntent.
- CVE-2026-57714Krytyczne
Wtyczka LatePoint dla WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) spowodowane niewłaściwą neutralizacją specjalnych elementów w zapytaniach SQL. Problem dotyczy wersji do 5.6.3 włącznie.
- CVE-2026-104766Wysokie
Wtyczka LatePoint dla WordPressa do wersji 5.7.3 włącznie jest podatna na eskalację uprawnień. Brak listy dozwolonych nazw i wartości ustawień oraz brak walidacji roli dla ustawienia 'default_wp_role_for_customer' umożliwia uwierzytelnionym atakującym z uprawnieniem 'settings__edit' (np. agentom) nadpisanie domyślnej roli WordPressa na 'administrator', co powoduje tworzenie nowych kont klientów z pełnymi uprawnieniami administratora.
- CVE-2026-13471Średnie
Wtyczka LatePoint – Calendar Booking Plugin for Appointments and Events dla WordPressa jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 5.6.3 włącznie przez funkcję LatePointAbilityDeleteBooking::execute z powodu braku walidacji kontrolowanego przez użytkownika klucza. Atakujący z dostępem na poziomie LatePoint Agent i wyższym mogą odczytywać rezerwacje i dane osobowe klientów (imię, nazwisko, email, telefon, notatki) przypisane do innych agentów oraz usuwać dowolne rezerwacje. Podatność jest wykorzystywana tylko gdy administrator włączy przełączniki Abilities API.
- CVE-2026-18441Średnie
Wtyczka Appointment Booking Plugin – LatePoint | Calendar & Scheduling dla WordPressa jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 5.6.9 włącznie, przez funkcję set_customer_object z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to nieuwierzytelnionym atakującym enumerację dowolnych rekordów klientów i ujawnienie danych osobowych (imię, nazwisko, adres e-mail, numer telefonu) poprzez iterację parametru customer[id]. Problem występuje tylko, gdy witryna ma wyłączone uwierzytelnianie klientów (włączony guest checkout).
- CVE-2026-5391Średnie
Wtyczka LatePoint dla WordPress jest podatna na Stored Cross-Site Scripting przez atrybut 'btn_wrapper_classes' shortcode'u 'latepoint_resources' we wszystkich wersjach do 5.3.2 włącznie. Jest to spowodowane niewystarczającą sanityzacją wejścia i brakiem escapingu wyjścia w gałęzi 'locations' funkcji 'shortcode_latepoint_resources'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributora i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-11398Średnie
Wtyczka LatePoint do WordPressa do wersji 5.6.1 włącznie zawiera podatność na obejście autoryzacji. Niezautoryzowani atakujący mogą modyfikować dane osobowe (imię, nazwisko, numer telefonu i notatki) istniejących klientów, w tym kont administratorów, poprzez przesłanie formularza rezerwacji ze znanym adresem e-mail. Warunkiem jest włączenie opcji rezerwacji gościnnych.
- CVE-2026-12657Średnie
Wtyczka LatePoint do WordPressa do wersji 5.6.2 włącznie zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) przez parametr 'service_id'. Brak walidacji kontrolowanego przez użytkownika klucza umożliwia nieuwierzytelnionym atakującym tworzenie zatwierdzonych rezerwacji na usługi przeznaczone wyłącznie dla administratorów i agentów.
- CVE-2026-49083Wysokie
Wersje LatePoint do 5.5.1 zawierają lukę, która pozwala na eskalację uprawnień dla współpracowników.
- CVE-2026-7652Średnie
Wtyczka LatePoint dla WordPressa do wersji 5.5.0 włącznie jest podatna na przejęcie konta poprzez słaby mechanizm odzyskiwania hasła w niezautoryzowanym przepływie rezerwacji gościa. Funkcja save_connected_wordpress_user() propaguje adres e-mail klienta LatePoint do powiązanego konta WordPress bez weryfikacji własności, a przepływ rezerwacji gościa umożliwia nadpisanie istniejącego adresu e-mail klienta przez scalanie oparte na telefonie bez uwierzytelniania.
Oryginalny opis (angielski, źródło NVD)
The LatePoint - Appointment Booking & Reservation plugin for WordPress is vulnerable to Insecure Direct Object Reference in versions up to, and including, 5.6.9. This is due to the process_step_customer() function using is_user_logged_in() as the sole gate before merging POSTed customer data into an existing LatePoint customer, without any ownership checks. This makes it possible for authenticated attackers, with Subscriber-level access and above, to modify the personal information (first name, last name, email, phone, notes) of arbitrary LatePoint customers, and, when the contact_merge setting is 'phone', to overwrite the victim's email address and take over the account via a password reset.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS