LatePoint: bypass de autenticação por tomada de conta (CVE-2026-118066)
Foi reportada a vulnerabilidade CVE-2026-118066 (CVSS 9.1) no plugin LatePoint para WordPress. A função OsModel::build_conditions_query() insere os valores 'IS NULL' e 'IS NOT NULL' no SQL sem parametrizá-los. Um atacante não autenticado pode alterar a senha de um cliente e acessar seus dados.
Verificado no Shield: não
Quem é afetado
Sites WordPress com LatePoint (Appointment Booking Plugin, Calendar & Scheduling) em todas as versões até a 5.7.6 inclusive. Se a opção wp_users_as_customers estiver ativa, a conta WordPress vinculada também pode ser tomada.
Como verificar
No painel do WordPress, abra Plugins e localize o LatePoint. Se a versão instalada for 5.7.6 ou anterior, o site está afetado.
Como corrigir
A fonte não informa uma versão corrigida. Acompanhe as atualizações do plugin e instale a correção assim que ela for lançada. Até lá, você pode desativar o plugin temporariamente.
O que o Shield verifica não é verificado
Verificado pelo Shield: não. Normalmente isso não aparece de fora ou a verificação ainda não foi adicionada; reunimos esses casos e adicionamos verificações em lotes.
Bom saber
O status de exploração e o número da versão corrigida ainda não foram divulgados. Fonte: NVD, CVE-2026-118066.
