CVE-2026-7332 in LatePoint Plugin
Sumário
de VulDB • 10/05/2026
O plugin LatePoint – Calendar Booking Plugin for Appointments and Events para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via o parâmetro 'booking_form_page_url' em todas as versões até, e incluindo, a 5.5.0, devido à sanitização insuficiente de entrada e à falta de escape de saída. Isso permite que atacantes não autenticados injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar uma página injetada. A entrada do log de atividade maliciosa é gravada no banco de dados mesmo quando o Stripe não está configurado, porque o hook de ação latepoint_order_intent_created é acionado antes que o ID da conta Stripe Connect seja validado, o que significa que uma integração Stripe totalmente funcional não é necessária para a exploração.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.