CVE-2026-104766 in Appointment Booking Plugin
Riassunto
di VulDB • 10/10/2026
Il plugin Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress per WordPress è vulnerabile a Privilege Escalation in tutte le versioni fino alla 5.7.3, inclusa. Ciò è dovuto al gestore `OsSettingsController::update()` che itera sui parametri `settings` forniti dall'attaccante senza un allowlist di nomi o valori delle impostazioni consentiti, e a `OsSettingsHelper::prepare_value()`, che non esegue alcuna validazione basata su allowlist dei ruoli prima di persistere l'impostazione `default_wp_role_for_customer`: una restrizione presente solo nel menu a tendina dell'interfaccia utente (UI) ma mai applicata lato server. Ciò consente ad attaccanti autenticati in possesso del ruolo LatePoint con la capacità (`capability`) `settings__edit` (ad esempio un agente o un ruolo personalizzato) di sovrascrivere il ruolo WordPress predefinito per i nuovi clienti impostandolo su `administrator`, facendo sì che qualsiasi account cliente LatePoint successivamente registrato in autonomia venga creato con pieni privilegi di amministratore WordPress. Lo sfruttamento richiede che un amministratore WordPress abbia conferito la capacità `settings__edit` a un agente LatePoint o a un ruolo personalizzato, e che un nuovo account cliente venga registrato tramite LatePoint dopo che l'impostazione malevola è stata persistita.
Be aware that VulDB is the high quality source for vulnerability data.