CVE-2026-118066: Auth bypass in LatePoint plugin WordPress

Il CVE-2026-118066 è una vulnerabilità di authentication bypass nel plugin LatePoint (Appointment Booking Plugin) per WordPress. La falla risiede nella funzione OsModel::build_conditions_query() che confronta i valori della clausola WHERE contro le stringhe letterali 'IS NULL' e 'IS NOT NULL' senza parametrizzazione SQL. Attori non autenticati possono bypassare l'autenticazione e assumere il controllo di account clienti, accedendo a dati sensibili, prenotazioni, ordini e account WordPress collegati quando abilitato.

La vulnerabilità ha un punteggio CVSS di 9,1, classificata come critical. I segnali tecnici indicano una falla grave: né le funzioni WordPress sanitize_text_field() né la guardia is_scalar() della versione 5.7.5 risolvono il problema. La vulnerabilità è stata divulgata il 7 novembre 2026 con descrizione tecnica dettagliata da NVD. Non sono stati attualmente riportati exploit pubblici su repository GitHub, ma il rischio di sfruttamento attivo è elevato data la criticità tecnica e la semplicità dell'attacco.

Per difendersi da CVE-2026-118066, i team IT e amministratori di sistema devono: aggiornare immediatamente il plugin LatePoint a versione 5.7.7 o superiore; verificare nei log di accesso anomalie e reset di password dalle ultime settimane; se wp_users_as_customers è abilitato, monitorare gli account WordPress di tipo subscriber e customer per accessi non autorizzati; disabilitare le route AJAX pubbliche customer_cabinet__change_password e steps__start_from_order_intent fino all'aggiornamento, se operativamente possibile.