CVE-2026-104766

WordPress için geliştirilen The Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress eklentisinin 5.7.3 dahil tüm sürümleri Yetki Yükseltme zafiyetine sahiptir. Bu durum, `OsSettingsController::update()` işleyicisinin, izin verilen ayar adları veya değerleri için bir beyaz liste olmaksızın saldırgan tarafından sağlanan `settings` parametrelerini yinelemesinden ve `OsSettingsHelper::prepare_value()` fonksiyonunun, `default_wp_role_for_customer` ayarını kalıcı hale getirmeden önce herhangi bir rol beyaz listesi doğrulaması yapmamasından kaynaklanmaktadır; bu kısıtlama yalnızca kullanıcı arayüzündeki açılır menüde mevcuttur ve sunucu tarafında hiçbir zaman uygulanmamaktadır. Bu durum, `settings__edit` yetkisine sahip olan kimliği doğrulanmış saldırganların (bir temsilci veya özel rol gibi), yeni müşteriler için varsayılan WordPress rolünü `administrator` olarak değiştirmesini mümkün kılar ve böylece sonrasında kendi kendine kayıt olan herhangi bir LatePoint müşteri hesabının tam WordPress yönetici ayrıcalıklarıyla oluşturulmasına neden olur. İstismarın gerçekleşmesi için bir WordPress yöneticisinin, bir LatePoint temsilcisine veya özel role `settings__edit` yetkisini vermiş olması ve kötü niyetli ayar değişikliği kaydedildikten sonra LatePoint üzerinden yeni bir müşteri hesabının kaydedilmesi gerekmektedir.