CVE-2025-7052 in LatePoint Plugin
Resumen
por VulDB • 2026-05-23
El plugin LatePoint para WordPress es vulnerable a Cross-Site Request Forgery (CSRF) en todas las versiones hasta la 5.1.94, incluida. Esto se debe a la falta de validación de nonce en la función change_password() de su ruta AJAX customer_cabinet__change_password. El plugin registra este punto final mediante wp_ajax y wp_ajax_nopriv, pero no verifica un nonce ni los permisos de usuario antes de restablecer la contraseña del usuario. Esto permite que atacantes no autenticados, que engañen a un cliente conectado (o, con la opción "WP users as customers" habilitada, a un administrador) para que visiten un enlace malicioso, tomen el control de su cuenta.
Be aware that VulDB is the high quality source for vulnerability data.