Analityczne wykorzystywanie plików cookies
CVE-2026-12657: Luka IDO w wtyczce LatePoint dla WordPress
Wtyczka LatePoint do WordPress ma lukę IDO umożliwiającą nieautoryzowane rezerwacje usług admina. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 5.3 MEDIUM
- EPSS
- 30.71%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka LatePoint – Calendar Booking Plugin for Appointments and Events dla WordPress do wersji 5.6.2 posiada lukę Insecure Direct Object Reference (IDO) w parametrze 'service_id'. Pozwala to nieautoryzowanym atakującym na tworzenie zatwierdzonych rezerwacji usług zarezerwowanych wyłącznie dla administratorów i agentów.
Wpływ biznesowy
Atakujący mogą wykorzystać lukę do rezerwowania terminów usług ograniczonych do administratorów i agentów, co może prowadzić do wyczerpania dostępnej pojemności rezerwacji oraz nieautoryzowanego dostępu do zasobów. Może to zakłócić działanie systemu rezerwacji i wpłynąć na zarządzanie kalendarzem w organizacji.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki LatePoint i jej instalację. W międzyczasie warto ograniczyć dostęp do funkcji rezerwacji, monitorować logi pod kątem podejrzanych działań oraz ograniczyć ekspozycję usługi na zewnątrz. Priorytetowo traktuj aktualizacje i audyt konfiguracji wtyczki.