CVE-2026-104766

WordPress üçün nəzərdə tutulmuş The Appointment Booking Plugin – LatePoint | Calendar & Scheduling plugini 5.7.3 versiyası daxil olmaqla bütün versiyalarda İmtiyazların Yüksəldilməsi zəifliyinə malikdir. Bu, `OsSettingsController::update()` idarəçisinin icazə verilmiş parametrlər siyahısı olmadan hücum edən tərəfindən təmin edilən `settings` parametrləri üzrə dövr etməsi və `OsSettingsHelper::prepare_value()` funksiyasının `default_wp_role_for_customer` parametrini yaddaşa yazmazdan əvvəl heç bir rol siyahısı doğrulaması aparmaması səbəbindən baş verir — bu məhdudiyyət yalnız istifadəçi interfeysindəki açılan menyuda mövcuddur və server tərəfində heç vaxt tətbiq edilmir. Bu, `settings__edit` imkanına malik olan autentifikasiya olunmuş hücum edənlər üçün (məsələn, agent və ya xüsusi rol) yeni müştərilər üçün standart WordPress rolunu `administrator` ilə əvəzləməyi mümkün edir ki, bu da daha sonra özü qeydiyyatdan keçən hər hansı LatePoint müştəri hesabının tam WordPress administrator imtiyazları ilə yaradılmasına səbəb olur. Eksploytasiya üçün WordPress administratorunun LatePoint agentinə və ya xüsusi rola `settings__edit` imkanını verməsi və zərərli parametr dəyişikliyi yaddaşa yazıldıqdan sonra LatePoint vasitəsilə yeni müştəri hesabının qeydiyyatdan keçməsi tələb olunur.