Saltar al contenido

Radar en marcha

Bastion/Radar

[■] Expediente CVE-2026-118066

Hay corrección

CVE-2026-118066: autenticación incorrecta en Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress

Autenticación incorrecta en Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress, de gravedad crítica (9,1 sobre 10). Se puede atacar a distancia, sin credenciales y sin que la víctima haga nada. Hay versión corregida.

CVSS 3.1
9,1
Crítica
Explotación
No confirmada
sin entrada en CISA KEV
EPSS 30 d
2,3 %
probabilidad de explotación
Corrección
5.7.7
la más reciente
Publicada
6 nov. 2026
modificada el 7 nov. 2026

También conocida como 2f7f5dc8-8cf7-493d-b012-89ff36a4dc02

[■] Explicado

LatePoint permite tomar cuentas de clientes sin iniciar sesión

El plugin LatePoint para WordPress tiene un fallo que puede permitir a una persona ajena tomar una cuenta de cliente y acceder a sus reservas, pedidos y datos personales. Si tienes una versión hasta la 5.7.6, actualiza a la 5.7.7 o posterior.

Para todos

Qué es

LatePoint puede confundir una petición pública con una solicitud válida para cambiar la contraseña de una cuenta de cliente. El fallo afecta a las versiones hasta la 5.7.6.

Qué te puede pasar

Una persona sin cuenta podría hacerse con una cuenta de cliente y ver sus reservas, pedidos y datos personales. Si está activada la opción que vincula clientes de LatePoint con cuentas de WordPress, también podría llegar a tomar la cuenta vinculada.

Fuentes [S1] [S2]

Para técnicos

Cómo funciona

El problema está en OsModel::build_conditions_query() de lib/models/model.php: ciertos valores se interpretan como operadores de una consulta SQL y se añaden a la consulta sin parametrizar. Wordfence describe el abuso de esta condición en rutas AJAX públicas de LatePoint para saltarse la comprobación del proceso de cambio de contraseña. El vector CVSS es de red, sin credenciales ni interacción de la víctima. La toma de la cuenta WordPress vinculada depende de que esté activada la opción wp_users_as_customers.

Desde dónde
Por red (Internet)
Qué necesita
Ninguna cuenta
Interacción
No hace falta que nadie haga nada
Impacto
El vector CVSS de los hechos indica impacto alto en confidencialidad e integridad, y ningún impacto en disponibilidad. En la práctica, el fallo puede dar acceso a datos de clientes y permitir cambiar la contraseña de una cuenta.

Fuentes [S1] [S2]

Explotación

Hay una prueba de concepto pública

La ficha de Bastion Radar indica que no consta en CISA KEV. GitHub publicó el 9 de noviembre de 2026 una plantilla de Nuclei para detectar el fallo; el código consultado comprueba una respuesta de una ruta pública y no muestra por sí solo la secuencia completa de toma de cuenta. Esto acredita una prueba pública de detección, no explotación confirmada.

Fuentes [S1] [S4]

Qué hacer

  1. 01

    Hoy · WordPress

    Si tienes LatePoint en la versión 5.7.6 o anterior, actualízalo a la 5.7.7 o posterior.

    Fuentes [S1] [S2] [S3]

Cómo saber si te afecta

  • Comprueba la versión instalada de LatePoint: las versiones hasta la 5.7.6 están afectadas; la corrección indicada es la 5.7.7 o posterior. Las fuentes consultadas no detallan indicadores para identificar si una cuenta ya ha sido tomada.

    Fuentes [S1] [S2]

Preguntas frecuentes

¿Qué versiones de LatePoint están afectadas por CVE-2026-118066?

Todas las versiones hasta la 5.7.6, incluida. La versión corregida indicada es la 5.7.7.

Fuentes [S1] [S2]

¿Puede explotarse sin tener una cuenta?

Sí. El vector CVSS de los hechos indica que no hacen falta credenciales ni que la víctima realice ninguna acción.

Fuentes [S1] [S2]

¿Qué puede conseguir quien aproveche el fallo?

Tomar una cuenta de cliente y acceder a sus reservas, pedidos y datos personales; la cuenta WordPress vinculada también puede quedar expuesta si está activada esa integración.

Fuentes [S2]

¿Hay una prueba pública de la vulnerabilidad?

GitHub publicó una plantilla de Nuclei que comprueba una ruta relacionada con el fallo. La ficha de Bastion Radar no indica que esté en CISA KEV.

Fuentes [S1] [S4]

Glosario

Autenticación
Comprobación de que alguien es quien dice ser antes de permitirle entrar en una cuenta.
SQL
Lenguaje que usan las aplicaciones para consultar y modificar información en una base de datos.
Ruta AJAX
Una dirección de la web a la que el plugin envía peticiones para realizar acciones sin recargar la página.

De dónde sale cada dato

Cada afirmación lleva su llamada ([S1], [S2]…) a una de estas fuentes. No reproducimos su texto: lo hemos leído, contrastado y contado con nuestras palabras.

  1. S1
    Ficha de CVE-2026-118066 para LatePoint

    Versiones afectadas, versión corregida, vector CVSS y estado KEV según los hechos del radar.

    Bastion Radar Bastion Radar · bastionradar.com

  2. S2
    Aviso de vulnerabilidad de LatePoint hasta la versión 5.7.6

    Causa técnica, condiciones, impacto, versiones afectadas y corrección.

    Wordfence Intelligence (Defiant) Investigación · wordfence.com

  3. S3
    Ficha y registro de cambios del plugin LatePoint

    Registro oficial de que la versión 5.7.7 incluye medidas de seguridad y de que la 5.7.8 es posterior.

    WordPress.org Fabricante · wordpress.org

  4. S4
    Plantilla pública de Nuclei para CVE-2026-118066

    Existencia y alcance de una plantilla pública para detectar el fallo.

    ProjectDiscovery Investigación · github.com

Redactado por Bastion Radar con ayuda de un modelo de lenguaje a partir de los datos del radar y de las fuentes citadas, que el modelo consultó. Después se comprueba afirmación por afirmación y sólo se publica si todo cuadra. Cómo funciona.

Incluye información de vulnerabilidades de Wordfence Intelligence. Copyright Defiant Inc., bajo licencia de Defiant.

CVE® es una marca registrada de The MITRE Corporation. Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy.

[A] Comprobación

¿Me afecta?

Escribe tu versión y te decimos si cae en alguno de los tramos afectados. No se guarda nada.

Mi versión de Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress

Versiones afectadas de Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress

1 tramo · según Wordfence Intelligence (Defiant)

  • todas las anteriores hasta la 5.7.6 5.7.7

[B] Qué hacer

¿Cómo lo soluciono?

  1. 01

    Actualiza Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress a la 5.7.7 o posterior.

    Es la corrección más reciente que dan las fuentes.

  2. 02

    Que no te pille la próxima.

    Añade Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress a Mi stack y tendrás a mano lo que salga de lo que usas.

[C] Cronología

Qué ha pasado

  1. 6 nov. 2026 T0

    Se publica la vulnerabilidad

    según Wordfence Intelligence (Defiant)

  2. 7 nov. 2026 T0

    Hay una versión corregida

    según Wordfence Intelligence (Defiant)

[D] Trazabilidad

Fuentes

Incluye información de vulnerabilidades de Wordfence Intelligence. Copyright Defiant Inc., bajo licencia de Defiant.

CVE® es una marca registrada de The MITRE Corporation. Copyright 1999-2026 The MITRE Corporation. CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy.

Datos reinterpretados por Bastion Radar a partir de las fuentes citadas. Fuentes y licencias.