CVE-2026-1566: Luka w wtyczce LatePoint do WordPress umożliwiająca eskalację uprawnień

Co wiadomo

Wtyczka LatePoint – Calendar Booking Plugin for Appointments and Events dla WordPress w wersjach do 5.2.7 włącznie zawiera lukę pozwalającą na eskalację uprawnień poprzez reset hasła. Użytkownicy z rolą LatePoint Agent mogą przypisać dowolny identyfikator użytkownika WordPress, co umożliwia podniesienie uprawnień, w tym do poziomu administratora.

Wpływ biznesowy

Atakujący z dostępem na poziomie agenta mogą wykorzystać tę lukę do uzyskania uprawnień administratora, co zagraża integralności i bezpieczeństwu systemu. Może to prowadzić do nieautoryzowanych zmian, wycieku danych lub przejęcia kontroli nad witryną WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki LatePoint i jej instalację. W przypadku braku łatki należy ograniczyć dostęp użytkowników z rolą agenta, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo traktuj przegląd uprawnień i zabezpieczeń kont użytkowników.

Źródła

• NVD
• Reference
• Reference