Analityczne wykorzystywanie plików cookies
CVE-2026-7332: Stored XSS w wtyczce LatePoint dla WordPress
Wtyczka LatePoint do WordPress ma podatność Stored XSS w parametrze booking_form_page_url. Zalecane szybkie aktualizacje i monitorowanie systemu.
- CVSS
- 7.2 HIGH
- EPSS
- 36.74%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka LatePoint – Calendar Booking Plugin for Appointments and Events dla WordPress do wersji 5.5.0 jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametr 'booking_form_page_url'. Atakujący mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Podatność umożliwia nieautoryzowanym osobom wstrzyknięcie i wykonanie złośliwego kodu w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych sesji, przekierowań lub innych działań szkodliwych dla użytkowników i reputacji firmy. Atak może być przeprowadzony bez konieczności posiadania konta lub konfiguracji Stripe, co zwiększa ryzyko wykorzystania.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki LatePoint i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do parametrów wejściowych, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji korzystających z podatnego parametru. Priorytetowo traktuj audyt i zabezpieczenie środowiska WordPress.