CVE-2026-6741
Açıklama
WordPress için geliştirilen LatePoint – Calendar Booking Plugin for Appointments and Events eklentisi, 5.4.1 dahil önceki sürümlerde Yetki Yükseltme zafiyetine sahiptir. Bu durum, connect-customer-to-wp-user yeteneğinin execute() metodunda eksik bir yetkilendirme kontrolünden kaynaklanmaktadır; söz konusu metod, hedef WordPress kullanıcı kimliğinin ayrıcalıklı bir hesaba ait olup olmadığını doğrulamadan yalnızca varsayılan olarak latepoint_agent rolüne verilen customer__edit yetkisini gerektirmektedir. Bu durum, latepoint_agent rolüne sahip kimliği doğrulanmış saldırganların herhangi bir LatePoint müşteri kaydını bir yöneticinin WordPress hesabıyla ilişkilendirmesine ve ardından standart müşteri şifre sıfırlama akışı üzerinden yöneticinin şifresini sıfırlayarak sitenin tamamen ele geçirilmesine olanak tanır.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| latepoint LatePoint – Calendar Booking Plugin for Appointments and Events | v ≤ 5.4.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.