LatePoint: обход аутентификации и захват аккаунта (CVE-2026-118066)
В плагине LatePoint для WordPress найдена уязвимость CVE-2026-118066 (CVSS 9.1). Функция OsModel::build_conditions_query() подставляет значения 'IS NULL' и 'IS NOT NULL' в SQL без параметризации. Неавторизованный атакующий может сменить пароль клиента и получить доступ к его данным.
Проверяется в Shield: нет
Кого касается
Сайты на WordPress с плагином LatePoint (Appointment Booking Plugin, Calendar & Scheduling) всех версий до 5.7.6 включительно. При включённой опции wp_users_as_customers возможен захват связанной учётной записи WordPress.
Как проверить у себя
В админке WordPress откройте раздел «Плагины» и найдите LatePoint. Если установлена версия 5.7.6 или ниже, сайт затронут.
Как исправить
Исправленная версия в источнике не указана. Следите за обновлениями плагина и установите исправление, как только оно выйдет. До этого можно временно отключить плагин.
Что проверяет Shield не проверяется
Проверяется в Shield: нет. Снаружи это обычно не видно или проверка ещё не добавлена; мы собираем такие случаи и добавляем проверки пакетом.
Важно знать
Данные об эксплуатации уязвимости и номере исправленной версии пока не раскрыты. Источник: NVD, CVE-2026-118066.
