CVE-2026-92966
KrytyczneCVSS 9.1Streszczenie
Wtyczka Appointment Booking Plugin – LatePoint dla WordPressa do wersji 5.7.0 włącznie jest podatna na wykonanie dowolnych shortcode'ów. Atakujący bez uwierzytelnienia może umieścić złośliwy shortcode podczas procesu rezerwacji, który zostanie wykonany po wyrenderowaniu przez komponent Customer Cabinet.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowane wykonanie kodu w kontekście WordPressa, co może prowadzić do przejęcia kontroli nad stroną, modyfikacji treści lub kradzieży danych.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji, która zawiera poprawkę, oraz ograniczenie dostępu do funkcji rezerwacji dla nieuwierzytelnionych użytkowników, jeśli to możliwe.
Inne podatności w Appointment Booking Plugin – LatePoint
Zobacz wszystkie- CVE-2026-103380Średnie
Wtyczka Appointment Booking Plugin – LatePoint dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 5.7.3 włącznie, poprzez parametr 'params[customer][first_name]'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyższym mogą wyodrębnić poufne dane rezerwacji, w tym pole admin_notes, wewnętrzne dane kontaktowe agenta, tokeny transakcji i adresy URL żądań płatności.
- CVE-2026-96662Wysokie
Wtyczka Appointment Booking Plugin – LatePoint | Calendar & Scheduling dla WordPressa jest podatna na ogólny SQL Injection przez parametr 'booking[service_id]' w wersjach do 5.7.2 włącznie z powodu niewystarczającego eskejpowania danych i braku przygotowania zapytań SQL. Niezalogowani atakujący mogą dołączać dodatkowe zapytania SQL, co pozwala na wyodrębnienie wrażliwych informacji z bazy danych.
- CVE-2026-91050Średnie
Wtyczka Appointment Booking Plugin – LatePoint dla WordPressa jest podatna na niebezpieczne bezpośrednie odwołania do obiektów / brak autoryzacji w wersjach do 5.7.2 włącznie. Nieuwierzytelnieni atakujący mogą tworzyć zatwierdzone wizyty dotyczące pozycji zamówień innych klientów oraz odczytywać ich dane osobowe.
Oryginalny opis (angielski, źródło NVD)
The The Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress plugin for WordPress is vulnerable to arbitrary shortcode execution in all versions up to, and including, 5.7.0. This is due to the software allowing users to execute an action that does not properly validate a value before running do_shortcode. This makes it possible for unauthenticated attackers to execute arbitrary shortcodes. The payload is planted during the unauthenticated booking flow and triggered when the Customer Cabinet block rendered by render_customer_dashboard() outputs the stored name into the content stream, where WordPress core's do_shortcode filter at priority 11 re-parses and executes it.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS