CVE-2025-14873: Wrażliwość CSRF w wtyczce LatePoint dla WordPress

Co wiadomo

Wtyczka LatePoint – Calendar Booking Plugin for Appointments and Events dla WordPress do wersji 5.2.5 jest podatna na atak Cross-Site Request Forgery (CSRF). Luka wynika z braku weryfikacji nonce w funkcji call_by_route_name, co pozwala nieautoryzowanym atakującym na wykonanie działań administracyjnych poprzez spreparowane żądania.

Wpływ biznesowy

Atakujący mogą wykorzystać tę lukę do przeprowadzenia nieautoryzowanych działań administracyjnych, jeśli uda im się nakłonić administratora do kliknięcia w złośliwy link. Może to prowadzić do niepożądanych zmian w konfiguracji lub danych systemu, wpływając na integralność i dostępność usług opartych na WordPress z tą wtyczką.

Rekomendowane działania administratora

Administratorzy powinni jak najszybciej zweryfikować dostępność aktualizacji wtyczki LatePoint i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie ekspozycji wtyczki, monitorowanie logów pod kątem podejrzanych działań oraz edukację użytkowników administracyjnych w zakresie rozpoznawania potencjalnie niebezpiecznych linków i żądań.

Źródła

• NVD
• Reference
• Reference