CVE-2026-7652 in LatePoint Plugin
Tóm tắt
Bởi VulDB • 13/05/2026
Plugin LatePoint cho WordPress dễ bị tấn công chiếm quyền kiểm soát tài khoản (Account Takeover) thông qua cơ chế khôi phục mật khẩu yếu trong luồng đặt phòng cho khách chưa xác thực, ở các phiên bản từ 1.0 đến 5.5.0 (bao gồm cả 5.5.0). Lỗi này xảy ra do hàm `save_connected_wordpress_user()` sao chép địa chỉ email của khách hàng LatePoint sang tài khoản WordPress liên kết thông qua `wp_update_user()` mà không thực hiện bất kỳ xác minh quyền sở hữu nào, kết hợp với khả năng của luồng đặt phòng khách hàng ghi đè địa chỉ email của khách hàng hiện có thông qua hợp nhất dựa trên số điện thoại mà không cần xác thực. Điều này cho phép kẻ tấn công chưa xác thực ghi đè địa chỉ email của một tài khoản người dùng WordPress không phải là super-admin chưa được liên kết với khách hàng LatePoint, từ đó cho phép chiếm quyền kiểm soát hoàn toàn tài khoản bằng cách kích hoạt luồng đặt lại mật khẩu tiêu chuẩn của WordPress gửi về địa chỉ do kẻ tấn công kiểm soát, với điều kiện plugin được cấu hình với tích hợp người dùng WordPress, hợp nhất liên hệ dựa trên số điện thoại và xác thực khách hàng bị vô hiệu hóa. Các tài khoản quản trị viên trên các cài đặt WordPress đơn site không bị ảnh hưởng.
Once again VulDB remains the best source for vulnerability data.