Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress
Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress: autenticazione aggirabile, sfruttabile via rete senza account
Il problema, secondo i dati ufficiali
- Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress ha una vulnerabilità classificata come «autenticazione aggirabile» (CWE-287).
- Secondo la valutazione ufficiale (CVSS) si sfrutta via rete (quindi anche da internet, se il servizio è esposto), senza bisogno di un account.
- Impatto dichiarato: lettura di dati riservati (impatto alto), modifica di dati o del sistema (impatto alto).
Cosa fare
- I dati ufficiali della CVE non indicano una versione corretta: segui l'avviso del produttore.
- Se non puoi aggiornare subito, applica le misure temporanee indicate nell'avviso del produttore (a volte chiede di spegnere il servizio); se non ne indica e il servizio è raggiungibile da internet, limita chi può raggiungerlo (VPN o filtro degli indirizzi).
Versioni interessate
- Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress: fino alla 5.7.6 inclusa
Fonti ufficiali
- www.wordfence.com — riferimento
- plugins.trac.wordpress.org — riferimento
- plugins.trac.wordpress.org — riferimento
- plugins.trac.wordpress.org — riferimento
- plugins.trac.wordpress.org — riferimento
Descrizione ufficiale (in inglese)
The Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress plugin for WordPress is vulnerable to Authentication Bypass via Account Takeover in all versions up to, and including, 5.7.6. This is due to the `OsModel::build_conditions_query()` function in `lib/models/model.php` comparing WHERE-clause values against the literal strings `'IS NULL'` and `'IS NOT NULL'` and concatenating a match directly into SQL without binding it as a parameter, a flaw that neither `sanitize_text_field()` nor the 5.7.5 `is_scalar()` hardening guard closes, since both pass the scalar sentinel through unchanged. This makes it possible for unauthenticated attackers to send `params[password_reset_token]=IS NOT NULL` to the public `customer_cabinet__change_password` AJAX route to match every non-null `account_nonse` value, resolving to the lowest-id customer and overwriting that customer's password to an attacker-chosen value — granting full access to their bookings, orders, and PII, and, when the `wp_users_as_customers` option is enabled, takeover of the linked WordPress subscriber or customer-role account. The attacker can first identify the target customer's email by sending `params[order_intent_key]=IS NOT NULL` to the public `steps__start_from_order_intent` route, which returns the name and email from the first matching order intent, and can then self-arm the required 15-minute password-reset freshness window by triggering a reset for that customer directly.
Non sai se ti riguarda?
Se usi Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress e non sai quale versione hai, o hai un sito o un e-commerce da tenere al sicuro, possiamo controllarlo noi. Intanto puoi fare un primo controllo gratuito.
Scheda compilata in automatico dai dati ufficiali (CISA KEV, NVD, CVE.org, FIRST EPSS). Non è più tra le allerte recenti: i dati sono quelli dell'ultimo aggiornamento. Ultimo aggiornamento: 8 novembre 2026. Prima di intervenire verifica l'avviso del produttore.