CVE-2025-7052 in LatePoint Plugin
Résumé
par VulDB • 23/05/2026
Le plugin LatePoint pour WordPress est vulnérable à une attaque par falsification de requête intersite (CSRF) dans toutes les versions jusqu'à la 5.1.94 incluse. Cette vulnérabilité est due à l'absence de validation du nonce sur la fonction change_password() de son route AJAX customer_cabinet__change_password. Le plugin enregistre cet endpoint via wp_ajax et wp_ajax_nopriv, mais ne vérifie ni le nonce ni les capacités de l'utilisateur avant de réinitialiser le mot de passe de ce dernier. Cela permet aux attaquants non authentifiés qui incitent un client connecté (ou, si l'option « WP users as customers » est activée, un administrateur) à visiter un lien malveillant de prendre le contrôle de leur compte.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.