CVE-2026-49083

Wtyczka LatePoint dla WordPressa do 5.4.0 zawiera podatność na nieprawidłową walidację danych wejściowych w procesorze płatności Stripe Connect. Pozwala to nieuwierzytelnionym atakującym na zapłacenie dowolnej kwoty poprzez dostarczenie wcześniej udanego tokena PaymentIntent.

Wtyczka LatePoint dla WordPressa zawiera podatność na ślepe wstrzykiwanie SQL (Blind SQL Injection) spowodowane niewłaściwą neutralizacją specjalnych elementów w zapytaniach SQL. Problem dotyczy wersji do 5.6.3 włącznie.

Wtyczka LatePoint dla WordPress jest podatna na Stored Cross-Site Scripting przez atrybut 'btn_wrapper_classes' shortcode'u 'latepoint_resources' we wszystkich wersjach do 5.3.2 włącznie. Jest to spowodowane niewystarczającą sanityzacją wejścia i brakiem escapingu wyjścia w gałęzi 'locations' funkcji 'shortcode_latepoint_resources'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributora i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka LatePoint do WordPressa do wersji 5.6.1 włącznie zawiera podatność na obejście autoryzacji. Niezautoryzowani atakujący mogą modyfikować dane osobowe (imię, nazwisko, numer telefonu i notatki) istniejących klientów, w tym kont administratorów, poprzez przesłanie formularza rezerwacji ze znanym adresem e-mail. Warunkiem jest włączenie opcji rezerwacji gościnnych.

Wtyczka LatePoint do WordPressa do wersji 5.6.2 włącznie zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) przez parametr 'service_id'. Brak walidacji kontrolowanego przez użytkownika klucza umożliwia nieuwierzytelnionym atakującym tworzenie zatwierdzonych rezerwacji na usługi przeznaczone wyłącznie dla administratorów i agentów.

Wtyczka LatePoint dla WordPressa do wersji 5.5.0 włącznie jest podatna na przejęcie konta poprzez słaby mechanizm odzyskiwania hasła w niezautoryzowanym przepływie rezerwacji gościa. Funkcja save_connected_wordpress_user() propaguje adres e-mail klienta LatePoint do powiązanego konta WordPress bez weryfikacji własności, a przepływ rezerwacji gościa umożliwia nadpisanie istniejącego adresu e-mail klienta przez scalanie oparte na telefonie bez uwierzytelniania.