LatePoint: обхід автентифікації та захоплення акаунта (CVE-2026-118066)
У плагіні LatePoint для WordPress знайдено вразливість CVE-2026-118066 (CVSS 9.1). Функція OsModel::build_conditions_query() підставляє значення 'IS NULL' та 'IS NOT NULL' в SQL без параметризації. Неавторизований зловмисник може змінити пароль клієнта й отримати доступ до його даних.
Перевіряється в Shield: ні
Кого стосується
Сайти на WordPress із плагіном LatePoint (Appointment Booking Plugin, Calendar & Scheduling) усіх версій до 5.7.6 включно. Якщо ввімкнено опцію wp_users_as_customers, можливе захоплення пов'язаного облікового запису WordPress.
Як перевірити в себе
В адмінці WordPress відкрийте розділ «Плагіни» та знайдіть LatePoint. Якщо встановлено версію 5.7.6 або нижче, сайт зачеплено.
Як виправити
Виправлену версію в джерелі не вказано. Стежте за оновленнями плагіна та встановіть виправлення, щойно воно вийде. До цього можна тимчасово вимкнути плагін.
Що перевіряє Shield не перевіряється
Перевіряється в Shield: ні. Ззовні це зазвичай не видно або перевірку ще не додано; ми збираємо такі випадки й додаємо перевірки пакетом.
Важливо знати
Дані про експлуатацію вразливості та номер виправленої версії поки не розкриті. Джерело: NVD, CVE-2026-118066.
