CVE-2026-11398
ŚrednieCVSS 5.3Streszczenie
Wtyczka LatePoint do WordPressa, w wersjach do 5.6.1 włącznie, zawiera podatność na ominięcie autoryzacji. Niezautoryzowany atakujący może modyfikować dane osobowe (imię, nazwisko, numer telefonu i notatki) istniejących klientów, w tym kont administratorów, poprzez przesłanie formularza rezerwacji ze znanym adresem e-mail. Warunkiem jest włączenie opcji rezerwacji dla gości.
Ocena ryzyka
Ryzyko polega na możliwości kradzieży tożsamości lub manipulacji danymi klientów i administratorów, co może prowadzić do naruszenia prywatności, wyłudzeń lub eskalacji uprawnień w systemie WordPress.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę LatePoint do najnowszej dostępnej wersji. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz opcję rezerwacji dla gości w ustawieniach wtyczki.
Oryginalny opis (angielski, źródło NVD)
The LatePoint – Calendar Booking Plugin for Appointments and Events plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 5.6.1. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to modify the personally identifiable information (first name, last name, phone number, and notes) of any existing customer record, including those linked to administrator accounts, by submitting the booking form with a known customer's email address. Exploitation requires the plugin to be configured with guest bookings enabled (is_customer_auth_disabled() returning true), which is necessary for the vulnerable unauthenticated code path in process_step_customer() to be reached.