CVE-2026-6741 in LatePoint Plugin
الملخص
بحسب VulDB • 28/05/2026
يحتوي ملحق LatePoint – Calendar Booking Plugin for Appointments and Events لـ WordPress على ثغرة تصعيد الامتياز (Privilege Escalation) في الإصدارات حتى 5.4.1 وشاملة لها. ويعود ذلك إلى غياب فحص التفويض (authorization check) في طريقة execute() الخاصة بقدرة ربط العميل بمستخدم ووردبريس (connect-customer-to-wp-user)، حيث تتطلب هذه القدرة فقط امتلاك صلاحية customer__edit الممنوحة افتراضياً لدور latepoint_agent، دون التحقق مما إذا كان معرف مستخدم ووردبريس المستهدف ينتمي إلى حساب ذي امتيازات عالية. وهذا يتيح للمهاجمين المصادق عليهم الذين يمتلكون دور latepoint_agent ربط أي سجل عميل في LatePoint بحساب ووردبريس الخاص بمسؤول الموقع، ومن ثم إعادة تعيين كلمة مرور المسؤول عبر تدفق إعادة تعيين كلمة مرور العملاء العادي، مما يؤدي إلى الاستيلاء الكامل على الموقع.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.