LatePoint: omisión de autenticación por toma de cuenta (CVE-2026-118066)
Se reportó la vulnerabilidad CVE-2026-118066 (CVSS 9.1) en el plugin LatePoint para WordPress. La función OsModel::build_conditions_query() inserta los valores 'IS NULL' e 'IS NOT NULL' en SQL sin parametrizarlos. Un atacante no autenticado puede cambiar la contraseña de un cliente y acceder a sus datos.
Revisado en Shield: no
Quién está afectado
Sitios WordPress con LatePoint (Appointment Booking Plugin, Calendar & Scheduling) en todas las versiones hasta la 5.7.6 inclusive. Si la opción wp_users_as_customers está activa, también se puede tomar la cuenta de WordPress vinculada.
Cómo comprobar
En el panel de WordPress abre Plugins y busca LatePoint. Si la versión instalada es 5.7.6 o anterior, tu sitio está afectado.
Cómo corregirlo
La fuente no indica una versión corregida. Está atento a una actualización del plugin e instálala en cuanto salga. Mientras tanto, puedes desactivar el plugin de forma temporal.
Qué comprueba Shield no se comprueba
Comprobado por Shield: no. Normalmente esto no se ve desde fuera o la comprobación aún no se ha añadido; reunimos estos casos y añadimos comprobaciones por lotes.
Conviene saber
El estado de explotación y el número de la versión corregida aún no se han divulgado. Fuente: NVD, CVE-2026-118066.
