LatePoint: obejście uwierzytelniania przez przejęcie konta (CVE-2026-118066)
W wtyczce LatePoint dla WordPress zgłoszono podatność CVE-2026-118066 (CVSS 9.1). Funkcja OsModel::build_conditions_query() wstawia wartości 'IS NULL' i 'IS NOT NULL' do SQL bez parametryzacji. Nieuwierzytelniony atakujący może zmienić hasło klienta i uzyskać dostęp do jego danych.
Sprawdzane w Shield: nie
Kogo dotyczy
Strony WordPress z wtyczką LatePoint (Appointment Booking Plugin, Calendar & Scheduling) we wszystkich wersjach do 5.7.6 włącznie. Gdy włączona jest opcja wp_users_as_customers, możliwe jest też przejęcie powiązanego konta WordPress.
Jak sprawdzić u siebie
W panelu WordPress otwórz zakładkę Wtyczki i znajdź LatePoint. Jeśli zainstalowana wersja to 5.7.6 lub niższa, strona jest podatna.
Jak naprawić
Źródło nie podaje poprawionej wersji. Śledź aktualizacje wtyczki i zainstaluj poprawkę, gdy tylko się pojawi. Do tego czasu możesz tymczasowo wyłączyć wtyczkę.
Co sprawdza Shield nie jest sprawdzane
Sprawdzane w Shield: nie. Z zewnątrz zwykle tego nie widać albo kontroli jeszcze nie dodano; zbieramy takie przypadki i dodajemy kontrole partiami.
Warto wiedzieć
Informacje o wykorzystaniu podatności i numerze poprawionej wersji nie zostały jeszcze ujawnione. Źródło: NVD, CVE-2026-118066.
