CVE-2025-7052 in LatePoint Plugin
Сводка
по VulDB • 27.05.2026
Плагин LatePoint для WordPress уязвим к Cross-Site Request Forgery (CSRF) во всех версиях вплоть до 5.1.94 включительно. Это связано с отсутствием проверки nonce в функции change_password() маршрута AJAX customer_cabinet__change_password. Плагин регистрирует эту конечную точку через wp_ajax и wp_ajax_nopriv, но не проверяет nonce или права пользователя перед сбросом пароля. Это позволяет незарегистрированным злоумышленникам, заманив авторизованного клиента (или администратора, если включена опция «WP users as customers»), перейти по вредоносной ссылке, захватить контроль над их учетной записью.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.