CVE-2026-1537: Nieautoryzowany dostęp do danych w wtyczce LatePoint dla WordPress

Co wiadomo

Wtyczka LatePoint – Calendar Booking Plugin for Appointments and Events dla WordPress do wersji 5.2.6 ma lukę umożliwiającą nieautoryzowany dostęp do danych. Brak odpowiedniej weryfikacji uprawnień w funkcji load_step() pozwala atakującym na przeglądanie informacji o rezerwacjach, takich jak dane klientów i szczegóły usług.

Wpływ biznesowy

Luka może prowadzić do wycieku poufnych danych klientów, w tym nazwisk, adresów e-mail, numerów telefonów oraz szczegółów dotyczących terminów i usług. Może to naruszyć prywatność użytkowników i zaszkodzić reputacji firmy, a także skutkować naruszeniem przepisów o ochronie danych osobowych.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki LatePoint do najnowszej wersji udostępnionej przez producenta. W przypadku braku dostępnej poprawki, ogranicz dostęp do funkcji wtyczki, monitoruj logi pod kątem podejrzanych aktywności oraz rozważ tymczasowe wyłączenie wtyczki. Przeanalizuj ryzyko ekspozycji danych i priorytetyzuj działania naprawcze.

Źródła

• NVD
• Reference
• Reference
• Reference