Analityczne wykorzystywanie plików cookies
CVE-2026-7652: Luka w wtyczce LatePoint dla WordPress umożliwiająca przejęcie konta
Luka w wtyczce LatePoint dla WordPress umożliwia przejęcie konta przez słaby mechanizm odzyskiwania hasła. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 5.3 MEDIUM
- EPSS
- 50.1%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka LatePoint dla WordPress do wersji 5.5.0 posiada lukę pozwalającą na przejęcie konta użytkownika poprzez słaby mechanizm odzyskiwania hasła w procesie rezerwacji gościa bez uwierzytelnienia. Atakujący mogą nadpisać adres e-mail powiązanego użytkownika WordPress i zresetować hasło, jeśli wtyczka jest odpowiednio skonfigurowana.
Wpływ biznesowy
Ta luka stwarza ryzyko nieautoryzowanego dostępu do kont użytkowników WordPress, co może prowadzić do przejęcia kont i potencjalnych naruszeń bezpieczeństwa danych. Wpływa to na właścicieli stron korzystających z LatePoint z integracją użytkowników WordPress, zwłaszcza gdy włączone są funkcje scalania kontaktów na podstawie numeru telefonu i wyłączona jest autoryzacja klientów. Konta administratorów na instalacjach jednosesyjnych nie są zagrożone.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki LatePoint i ich wdrożenie. W przypadku braku łatki, ogranicz ekspozycję funkcji scalania kontaktów i rozważ włączenie uwierzytelniania klientów. Przeanalizuj logi pod kątem podejrzanych działań związanych z resetowaniem haseł i nadpisywaniem adresów e-mail. Priorytetyzuj działania zabezpieczające na podstawie konfiguracji wtyczki i ryzyka biznesowego.