CVE-2026-1566 in LatePoint Plugin
要約
〜によって VulDB • 2026年05月28日
WordPress用の「LatePoint – Calendar Booking Plugin for Appointments and Events」プラグインには、5.2.7を含むすべてのバージョンにおいて、パスワードリセットを介した権限昇格の脆弱性が存在します。これは、プラグインがLatePoint Agentロールを持つユーザーが新規顧客を作成する際に「wordpress_user_id」フィールドを設定できることに起因します。これにより、Agentレベル以上のアクセス権を持つ認証済み攻撃者は、顧客を管理者を含む任意のユーザーIDにリンクし、その後パスワードをリセットすることで、昇格された権限を取得することが可能になります。
If you want to get best quality of vulnerability data, you may have to visit VulDB.