LatePoint CVE-2026-118066 – krytyczna luka umożliwia przejęcie kont klientów bez logowania

W popularnej wtyczce LatePoint, służącej do internetowej rezerwacji terminów i sprzedaży usług za pośrednictwem WordPressa, wykryto krytyczną podatność CVE-2026-118066. Luka umożliwia niezalogowanemu napastnikowi obejście zabezpieczeń resetowania hasła i przejęcie konta klienta bez znajomości jego dotychczasowego hasła. Według Wordfence zagrożenie otrzymało ocenę CVSS 9,1/10, natomiast Patchstack przyznał mu 9,8/10.

Podatność dotyczy wszystkich wersji LatePoint do 5.7.6 włącznie. Poprawkę wprowadzono w wydaniu 5.7.7 z 2 listopada 2026 roku, a kolejna wersja 5.7.8 jest już dostępna. Szczegóły techniczne zagrożenia zostały publicznie ujawnione 6 listopada, a rekord CVE opublikowano 7 listopada 2026 roku.

Problem jest szczególnie niebezpieczny, ponieważ nie wymaga posiadania konta w atakowanym serwisie. Napastnik może wykorzystać publicznie dostępne mechanizmy wtyczki do obejścia kontroli tokenów resetowania hasła. W określonych konfiguracjach skutki mogą wykraczać poza samo konto klienta LatePoint i obejmować także powiązane konto WordPressa.

LatePoint jest wykorzystywany w ponad 100 tysiącach aktywnych instalacji WordPressa. Nie oznacza to, że wszystkie te witryny korzystają z podatnych wersji lub zostały zaatakowane, jednak skala wykorzystania rozszerzenia sprawia, że aktualizacja ma duże znaczenie dla bezpieczeństwa usług rezerwacyjnych.

Czym jest LatePoint i dlaczego podatność jest groźna dla sprzedaży internetowej?

LatePoint to rozszerzenie WordPressa umożliwiające internetową rezerwację terminów, zarządzanie klientami oraz przyjmowanie płatności za usługi.

System jest wykorzystywany przez firmy, które oferują rezerwację wizyt, konsultacji, zajęć, szkoleń, warsztatów i innych usług dostępnych w określonych terminach.

Wtyczka udostępnia między innymi:

• formularze rezerwacyjne dostępne przez całą dobę;
• kalendarze terminów i dostępności usług;
• konta klientów umożliwiające zarządzanie rezerwacjami;
• obsługę zamówień i płatności internetowych;
• sprzedaż biletów na wydarzenia i warsztaty;
• integracje z operatorami płatności, takimi jak Stripe i PayPal;
• powiadomienia o rezerwacjach i zmianach terminów;
• integrację z WooCommerce w odpowiednich konfiguracjach LatePoint Pro.

LatePoint może więc obsługiwać zarówno samodzielny serwis rezerwacyjny, jak i sklep internetowy oferujący usługi wymagające wcześniejszego wyboru terminu.

Konto klienta takiej aplikacji może zawierać historię zamówień, szczegóły rezerwacji oraz informacje osobowe przekazane podczas zakupów.

Nieautoryzowany dostęp do takiego konta jest poważnym naruszeniem bezpieczeństwa, nawet jeżeli nie prowadzi bezpośrednio do przejęcia całego WordPressa.

CVE-2026-118066 – na czym polega krytyczna podatność w LatePoint?

Przyczyną podatności jest błąd w sposobie konstruowania warunków zapytań SQL przez funkcję OsModel::build_conditions_query(), znajdującą się w pliku lib/models/model.php.

Funkcja ta odpowiada za przygotowywanie warunków wykorzystywanych podczas wyszukiwania rekordów w bazie danych.

W prawidłowo zabezpieczonej aplikacji wartości dostarczane przez użytkownika powinny być traktowane jako zwykłe dane, a nie elementy zmieniające logikę zapytania SQL.

W podatnej implementacji LatePoint występowała jednak specjalna obsługa wartości odpowiadających operatorom SQL IS NULL oraz IS NOT NULL.

Jeżeli przekazana wartość odpowiadała jednemu z tych operatorów, aplikacja mogła włączyć ją bezpośrednio do warunku zapytania zamiast potraktować jako parametr wymagający zwykłego porównania.

W efekcie napastnik mógł wpłynąć na sposób wyszukiwania rekordów wykorzystywanych podczas resetowania hasła klienta.

Najważniejszym skutkiem błędu jest możliwość doprowadzenia do zaakceptowania nieprawidłowego warunku jako podstawy odnalezienia konta, dla którego można następnie ustawić nowe hasło.

Nie jest to zwykły błąd formularza logowania. Problem występuje głębiej, w mechanizmie obsługi warunków SQL wykorzystywanym przez funkcje odpowiedzialne za identyfikację klienta.

Dlaczego wcześniejsze zabezpieczenia nie zatrzymywały ataku?

Według opisu podatności w kodzie LatePoint stosowano mechanizmy oczyszczania i sprawdzania danych wejściowych.

Wykorzystywana była między innymi standardowa funkcja WordPressa sanitize_text_field().

W wersji 5.7.5 dodano również sprawdzenie is_scalar(), które miało ograniczać możliwość przekazywania nieoczekiwanych struktur danych.

Zabezpieczenia te nie usuwały jednak konkretnego problemu.

Wartości interpretowane przez podatny mechanizm jako operatory SQL nadal spełniały warunki kontroli, ponieważ były zwykłymi ciągami znaków.

Jednocześnie funkcja konstruująca zapytanie rozpoznawała je jako specjalne instrukcje zmieniające sposób porównywania danych.

W ten sposób dane mogły przejść przez wcześniejsze sprawdzenia, a mimo to wpłynąć na logikę wykonywanego zapytania.

Jest to istotne rozróżnienie: samo oczyszczenie tekstu z niedozwolonych znaków nie wystarcza, jeżeli aplikacja później interpretuje określone wartości jako instrukcje wpływające na działanie bazy danych.

Jak dochodzi do przejęcia konta klienta LatePoint?

Wtyczka udostępnia mechanizm umożliwiający klientowi zresetowanie zapomnianego hasła.

Podczas prawidłowego resetowania aplikacja powinna potwierdzić, że osoba żądająca zmiany hasła posiada odpowiedni, ważny token przypisany do konkretnego konta.

W podatnych wersjach LatePoint sposób sprawdzania takiego tokenu mógł zostać zakłócony przez nieprawidłową interpretację warunku SQL.

Publiczne ostrzeżenie opisuje scenariusz, w którym niezalogowany napastnik wykorzystuje specjalnie przygotowaną wartość zamiast prawidłowego tokenu resetowania hasła.

W rezultacie aplikacja może dopasować rekord klienta na podstawie warunku dotyczącego obecności zapisanej wartości, zamiast sprawdzać zgodność z rzeczywistym tokenem.

Mechanizm może prowadzić do wskazania pierwszego pasującego rekordu klienta, a następnie umożliwić zmianę jego hasła na wartość wybraną przez napastnika.

Skutkiem jest przejęcie konta klienta bez konieczności znajomości dotychczasowego hasła oraz bez wcześniejszego zalogowania do systemu.

Czy napastnik musi znać adres e-mail klienta?

Szczegółowy opis CVE wskazuje również na możliwość uzyskania informacji identyfikujących klienta przez inny publiczny mechanizm LatePoint, wykorzystywany podczas wznawiania procesu rezerwacji.

W podatnej wersji niewłaściwa interpretacja warunków SQL może umożliwiać odnalezienie pierwszego pasującego zamówienia i uzyskanie powiązanych z nim informacji, takich jak imię i adres e-mail klienta.

Oznacza to, że atakujący nie musi wcześniej dysponować kompletną listą adresów e-mail użytkowników serwisu.

Opis podatności uwzględnia także ograniczenie czasowe mechanizmu resetowania hasła. Napastnik może doprowadzić do zainicjowania odpowiedniej procedury, aby spełnić warunek dotyczący świeżości żądania.

W efekcie samo ograniczenie ważności procedury resetowania hasła do 15 minut nie eliminuje zagrożenia w podatnej wersji.

Czy przejęcie konta wymaga interakcji ofiary?

Według oceny CVSS 3.1 podatność nie wymaga interakcji użytkownika.

Nie trzeba więc nakłaniać klienta do kliknięcia złośliwego odsyłacza, zainstalowania dodatkowego oprogramowania ani podania hasła na fałszywej stronie.

Atak jest realizowany przez podatne funkcje aplikacji dostępne z sieci.

Nie należy jednak utożsamiać tego z możliwością przejęcia dowolnego konta w każdej instalacji. Skuteczne wykorzystanie podatności zależy od działania opisanych mechanizmów, dostępności odpowiednich rekordów oraz warunków obsługi resetowania hasła.

Jakie dane klientów może uzyskać napastnik?

Po skutecznym przejęciu konta LatePoint napastnik może korzystać z funkcji dostępnych jego właścicielowi.

W zależności od konfiguracji aplikacji i informacji zapisanych na koncie może to obejmować:

• imię i nazwisko klienta;
• adres e-mail i dane kontaktowe;
• historię dokonanych rezerwacji;
• informacje o zamówionych usługach;
• terminy przyszłych wizyt lub rezerwacji;
• szczegóły zamówień powiązanych z kontem;
• dane przekazane w formularzach rezerwacyjnych;
• funkcje zarządzania własnymi rezerwacjami.

Zakres dostępnych informacji zależy od konkretnej konfiguracji LatePoint, aktywnych rozszerzeń i uprawnień konta klienta.

Nie ma podstaw do twierdzenia, że CVE-2026-118066 automatycznie ujawnia numery kart płatniczych lub umożliwia pobieranie pełnych danych przechowywanych przez Stripe czy PayPal.

Przetwarzanie płatności odbywa się przez odpowiednich operatorów, a omawiana podatność dotyczy przede wszystkim mechanizmu identyfikacji klientów i zmiany haseł.

Czy CVE-2026-118066 umożliwia przejęcie administratora WordPressa?

To jedno z najważniejszych rozróżnień dotyczących tej podatności.

Potwierdzony scenariusz obejmuje przejęcie konta klienta LatePoint.

Wtyczka posiada jednak opcję wp_users_as_customers, pozwalającą wykorzystywać powiązane konta WordPressa jako konta klientów systemu rezerwacyjnego.

Jeżeli taka integracja jest aktywna, skutki wykorzystania podatności mogą objąć również odpowiadające konto WordPressa.

Według opisu CVE dotyczy to kont z rolą subskrybenta lub klienta.

Nie potwierdzono natomiast, że ta konkretna luka pozwala automatycznie przejąć konto administratora WordPressa lub podnieść uprawnienia przejętego klienta do poziomu administratora.

To odróżnia CVE-2026-118066 od innych podatności dotyczących mechanizmów kont użytkowników.

Przykładowo w rozszerzeniu Qode Membership wykryto wcześniej krytyczną podatność umożliwiającą przejmowanie kont administratorów WordPressa. Oba zagrożenia dotyczą naruszenia procesu uwierzytelniania, jednak mają odmienny mechanizm i zakres skutków.

CVE-2026-118066 – ocena CVSS i podatne wersje LatePoint

Ocena 9,1 według Wordfence oznacza możliwość przeprowadzenia ataku zdalnie, przy niskiej złożoności, bez wymaganych uprawnień i bez interakcji ze strony ofiary.

Patchstack przyznał podatności jeszcze wyższą ocenę 9,8 i zalecił natychmiastowe wdrożenie poprawki.

Szczegółowy zakres podatnych wersji i informacje o sposobie usunięcia zagrożenia znajdują się w ostrzeżeniu Patchstack dotyczącym CVE-2026-118066.

Co zmieniono w LatePoint 5.7.7?

Producent wydał wersję 5.7.7 w dniu 2 listopada 2026 roku.

W oficjalnej historii zmian wskazano wzmocnienie zabezpieczeń wtyczki na podstawie zgłoszenia Wordfence.

Poprawka usuwa możliwość wykorzystania nieprawidłowo interpretowanych warunków SQL do obejścia zabezpieczeń procesu resetowania hasła.

Istotne jest prawidłowe oddzielenie danych przekazywanych przez użytkownika od specjalnych instrukcji wykorzystywanych podczas konstruowania zapytań.

Wcześniejsze działania zabezpieczające, w tym kontrola danych dodana w wersji 5.7.5, nie eliminowały tego problemu.

Wersja 5.7.7 jest pierwszym wydaniem wskazanym jako poprawione w przypadku CVE-2026-118066.

Dodatkowo 3 listopada 2026 roku udostępniono LatePoint 5.7.8, które zawiera kolejne zmiany bezpieczeństwa i poprawki działania systemu.

Numer aktualnie dostępnego wydania i historię zmian można sprawdzić na oficjalnej stronie LatePoint w katalogu WordPress.org.

Czy CVE-2026-118066 jest już wykorzystywana przez cyberprzestępców?

Patchstack oznacza CVE-2026-118066 jako podatność znaną z wykorzystania w atakach, stosując oznaczenie „Known to be exploited”.

Publiczny komunikat Patchstack nie przedstawia jednak szczegółów konkretnej kampanii, liczby zaatakowanych witryn ani dat zaobserwowanych prób wykorzystania podatności.

Na dzień 8 listopada 2026 roku nie potwierdzono również obecności CVE-2026-118066 w oficjalnym katalogu Known Exploited Vulnerabilities prowadzonym przez CISA.

Dlatego należy odróżnić oznaczenie zagrożenia przez dostawcę informacji bezpieczeństwa od niezależnie udokumentowanego incydentu wykorzystującego konkretną lukę.

Sam mechanizm przejmowania kont jest jednak technicznie potwierdzony, a oceny CVSS wskazują na krytyczny poziom ryzyka.

Nie ma więc uzasadnienia dla odkładania aktualizacji do czasu pojawienia się doniesień o rzeczywistych włamaniach.

Jak sprawdzić, czy instalacja LatePoint jest podatna?

Administrator WordPressa powinien rozpocząć od sprawdzenia wersji zainstalowanej wtyczki.

1. Zaloguj się do panelu administracyjnego WordPressa.
2. Otwórz sekcję Wtyczki → Zainstalowane wtyczki.
3. Odszukaj rozszerzenie Appointment Booking Plugin – LatePoint.
4. Sprawdź numer wersji.
5. Jeżeli korzystasz z wersji 5.7.6 lub starszej, instalacja znajduje się w potwierdzonym zakresie podatności.
6. Zaktualizuj wtyczkę do wersji 5.7.7 lub nowszej, najlepiej aktualnego wydania 5.7.8.

Jeżeli wtyczka jest wykorzystywana na kilku stronach, należy sprawdzić każdą instalację osobno.

Dotyczy to także środowisk testowych, których formularze rezerwacyjne lub endpointy AJAX pozostają dostępne przez Internet.

Jak zabezpieczyć LatePoint przed przejęciem kont klientów?

1. Niezwłocznie zaktualizuj LatePoint

Najważniejszym działaniem jest instalacja poprawionego wydania.

Przed aktualizacją warto wykonać kopię bezpieczeństwa bazy danych i plików witryny.

Po zakończeniu instalacji należy sprawdzić, czy działają formularze rezerwacyjne, logowanie klientów, resetowanie haseł, historia zamówień i procesy płatności.

W środowiskach z dodatkowymi integracjami warto przetestować także połączenia z WooCommerce i innymi usługami wykorzystywanymi przez LatePoint.

2. Tymczasowo wyłącz podatną wtyczkę, jeśli aktualizacja jest niemożliwa

Jeżeli z przyczyn technicznych nie można od razu zainstalować poprawki, należy rozważyć tymczasowe wyłączenie LatePoint do czasu wdrożenia bezpiecznej wersji.

Takie działanie może spowodować niedostępność rezerwacji online, dlatego powinno zostać skoordynowane z obsługą klientów.

Samo ukrycie formularza logowania albo przycisku resetowania hasła nie gwarantuje ochrony. Podatne mechanizmy mogą nadal pozostawać dostępne przez publiczne endpointy aplikacji.

Patchstack udostępnił także regułę ochronną ograniczającą możliwość wykorzystania CVE-2026-118066.

Reguła WAF może stanowić zabezpieczenie tymczasowe, ale nie zastępuje aktualizacji.

3. Zweryfikuj historię resetowania haseł

Administrator powinien przeanalizować dostępne informacje o zmianach haseł klientów LatePoint.

Szczególnej uwagi wymagają nieoczekiwane resetowania haseł oraz późniejsze logowania wykonywane z nietypowych adresów IP.

Warto porównać takie zdarzenia z rzeczywistymi zgłoszeniami klientów i aktywnością ich kont.

Jeżeli firma posiada własne logi aplikacyjne albo narzędzia rejestrujące zdarzenia bezpieczeństwa, mogą one pomóc w odtworzeniu przebiegu podejrzanych operacji.

4. Sprawdź powiązania kont LatePoint z WordPressem

Jeżeli aktywna jest opcja wp_users_as_customers, należy ustalić, które konta klientów LatePoint są powiązane z kontami WordPressa.

Przy podejrzeniu wykorzystania podatności trzeba zweryfikować historię logowań takich użytkowników oraz sprawdzić, czy nie wystąpiły nieautoryzowane operacje wykonywane z ich kont.

W razie potrzeby należy unieważnić podejrzane sesje i wymusić ponowne uwierzytelnienie.

5. Sprawdź integralność danych rezerwacyjnych

Po przejęciu konta klienta napastnik może wykonywać działania dostępne dla jego właściciela.

Dlatego warto sprawdzić, czy nie doszło do nieoczekiwanych zmian rezerwacji, danych kontaktowych lub informacji przypisanych do konta.

Jeżeli wykryto podejrzane operacje, należy zabezpieczyć logi oraz ustalić, których rekordów dotyczyły zmiany.

Nie należy automatycznie przywracać całej bazy danych wyłącznie z powodu wykrycia podatnej wersji. Taka operacja mogłaby usunąć prawidłowe zamówienia i rezerwacje zapisane po wykonaniu kopii bezpieczeństwa.

Dlaczego samo stosowanie silnych haseł nie chroni przed CVE-2026-118066?

Wiele firm zabezpiecza konta klientów i administratorów przez stosowanie długich, trudnych do odgadnięcia haseł.

Jest to ważne zabezpieczenie, ale nie eliminuje podatności pozwalających obejść proces uwierzytelniania.

CVE-2026-118066 nie polega na odgadywaniu hasła metodą brute force.

Napastnik wykorzystuje błąd w mechanizmie resetowania hasła, który w określonych warunkach może zaakceptować nieprawidłowy sposób identyfikacji konta.

W takiej sytuacji nawet bardzo silne hasło nie zapewnia ochrony, ponieważ może zostać zastąpione nowym bez prawidłowej weryfikacji uprawnienia do wykonania tej operacji.

Podobne znaczenie mechanizmów uwierzytelniania i zarządzania sesjami pokazuje podatność CVE-2026-82907 w Apache OFBiz, pozwalająca przejmować sesje bez znajomości hasła. Choć techniczna przyczyna jest inna, w obu przypadkach naruszenie bezpieczeństwa wynika z błędnej kontroli danych służących do potwierdzania tożsamości użytkownika.

Czy LatePoint może zagrozić sklepom WooCommerce?

LatePoint działa jako oddzielne rozszerzenie WordPressa i nie wymaga instalacji WooCommerce do podstawowej obsługi rezerwacji.

W wersji Pro dostępne są jednak integracje z WooCommerce oraz dodatkowymi systemami płatności.

Jeżeli firma korzysta z połączonego środowiska, w którym LatePoint i WooCommerce obsługują wspólne procesy zakupowe, przejęcie konta klienta może wpływać również na operacje realizowane przez takie integracje.

Zakres skutków zależy od sposobu powiązania kont, danych i uprawnień pomiędzy aplikacjami.

Nie oznacza to, że sam WooCommerce jest podatny na CVE-2026-118066. Problem występuje w LatePoint i dotyczy instalacji wykorzystujących podatne wydania tego rozszerzenia.

Właściciele sklepów i serwisów rezerwacyjnych powinni regularnie sprawdzać bezpieczeństwo wszystkich aktywnych modułów. Podstawowe zasady kontroli aktualizacji, uprawnień i ochrony aplikacji przedstawiono w artykule jak dobrze zabezpieczyć sklep internetowy.

LatePoint 5.7.7 i 5.7.8 – które wydanie należy zainstalować?

Potwierdzona podatność CVE-2026-118066 dotyczy wersji do 5.7.6 włącznie.

Za pierwszą wersję usuwającą tę lukę uznano LatePoint 5.7.7, wydaną 2 listopada 2026 roku.

Producent opublikował następnie wersję 5.7.8, która zawiera kolejne poprawki bezpieczeństwa i działania aplikacji.

Administratorzy powinni więc korzystać z aktualnej poprawionej wersji, zamiast ograniczać się do starszych wydań, które posiadają znane podatności.

Po instalacji aktualizacji warto potwierdzić, że numer wersji wyświetlany w panelu WordPressa odpowiada rzeczywiście uruchomionemu wydaniu LatePoint.

Nie należy również zapominać o sprawdzeniu zgodności własnych dodatków, formularzy i integracji, szczególnie w witrynach obsługujących aktywną sprzedaż usług.

CVE-2026-118066 – najważniejsze zagrożenie dla klientów i firm korzystających z LatePoint

Krytyczna podatność CVE-2026-118066 umożliwia obejście zabezpieczeń resetowania hasła w LatePoint i przejęcie konta klienta bez wcześniejszego uwierzytelnienia.

Przyczyną błędu jest nieprawidłowa obsługa specjalnych warunków SQL w funkcji OsModel::build_conditions_query().

Atakujący może wykorzystać podatny mechanizm do wskazania konta klienta i ustawienia nowego hasła. W konsekwencji uzyskuje dostęp do informacji i funkcji dostępnych dla właściciela przejętego konta.

Jeżeli instalacja wykorzystuje powiązanie klientów LatePoint z użytkownikami WordPressa, zagrożenie może objąć również odpowiednie konta subskrybentów lub klientów WordPressa.

Potwierdzony scenariusz nie oznacza jednak automatycznej eskalacji uprawnień do administratora WordPressa ani zdalnego wykonania kodu na serwerze.

Podatność otrzymała ocenę CVSS 9,1 według Wordfence oraz 9,8 według Patchstack. Poprawkę udostępniono w wersji LatePoint 5.7.7, a nowsze wydanie 5.7.8 jest już dostępne.

Administratorzy korzystający z LatePoint 5.7.6 lub starszych wersji powinni niezwłocznie zaktualizować wtyczkę, przeanalizować historię resetowania haseł oraz sprawdzić, czy nie doszło do nieautoryzowanego dostępu do kont klientów i ich rezerwacji.

Oficjalny rekord podatności znajduje się w bazie CVE pod identyfikatorem CVE-2026-118066.