LatePoint’te 9.1’lik hesap ele geçirme açığı

WordPress için randevu ve takvim eklentisi LatePoint’te 9.1 puanlık bir kimlik doğrulama atlatma açığı bulundu. Açık, 5.7.6 ve öncesi sürümlerin tamamını etkiliyor ve saldırganın siteye giriş yapmadan bir müşteri hesabının şifresini değiştirmesine yetiyor. Kayıt 7 Kasım’da CVE-2026-118066 numarasıyla yayımlandı; düzeltme eklentinin 5.7.7 ve 5.7.8 sürümlerinde geldi.

Açık nasıl işliyor

Hata, eklentinin veritabanı katmanındaki OsModel::build_conditions_query() fonksiyonunda. Fonksiyon, sorgudaki değerleri 'IS NULL' ve 'IS NOT NULL' sabit metinleriyle karşılaştırıyor, eşleşme olduğunda ise değeri parametre olarak bağlamak yerine doğrudan SQL sorgusunun içine ekliyor. 5.7.5 sürümünde eklenen is_scalar() kontrolü de, sanitize_text_field() de bu geçişi engellemiyor.

Bunun pratik sonucu şu: herkese açık customer_cabinet__change_password AJAX ucuna params[password_reset_token]=IS NOT NULL gönderen bir saldırgan, koşulu boş olmayan bütün account_nonse değerleriyle eşleştiriyor. Sorgu en düşük kimlik numaralı müşteri hesabına çözümleniyor ve o hesabın şifresi saldırganın seçtiği değerle değiştiriliyor.

Saldırganın önce hedefi bulması da mümkün. steps__start_from_order_intent ucuna params[order_intent_key]=IS NOT NULL gönderildiğinde, ilk eşleşen sipariş niyetinden müşterinin adı ve e-posta adresi dönüyor. Ardından o müşteri için şifre sıfırlama tetiklenerek şifre değişikliği için gereken 15 dakikalık tazelik penceresi kendiliğinden açılıyor.

Kimler etkileniyor

Açık, sitesinde LatePoint ile randevu, rezervasyon veya sipariş alan herkesi ilgilendiriyor. Ele geçirilen hesap üzerinden o müşterinin randevularına, siparişlerine ve kişisel bilgilerine erişilebiliyor. Eklentinin wp_users_as_customers seçeneği açıksa, devralınan hesap bağlı WordPress abone veya müşteri hesabına da uzanıyor.

CVSS 3.1 puanı 9.1. Vektör AV:N/AC:L/PR:N/UI:N; yani saldırı ağdan yapılabiliyor, kimlik doğrulaması ve kullanıcı etkileşimi gerekmiyor. Zafiyet sınıfı CWE-287, yani yetersiz kimlik doğrulama. Puanı Wordfence ekibi verdi; NVD kaydı hâlâ “Deferred” durumunda, yani NVD tarafındaki analiz henüz tamamlanmadı. Açığın aktif olarak sömürüldüğüne dair bir kayıt yok, CISA’nın bilinen sömürülen açıklar listesinde de yer almıyor.

Ne yapmalı

İlk adım eklentiyi güncellemek. WordPress.org deposunda son sürüm 5.7.8 ve 3 Kasım’da yayımlandı; 5.7.7 güvenlik sertleştirmesi getirdi, 5.7.8 ise ikinci bir güvenlik hatasını kapattı. Otomatik güncelleme kapalıysa panelden elle yükseltmek gerekiyor.

Güncellemeden sonra kısa bir kontrol de faydalı. Erişim kayıtlarında customer_cabinet__change_password veya steps__start_from_order_intent uçlarına gelen ve içinde IS NOT NULL geçen istekleri arayın. Müşteri hesaplarında kendiliğinden değişmiş şifre ya da tanımadığınız oturumlar varsa, o hesapların şifresini sıfırlayıp müşterileri bilgilendirin.

Kaynak: NVD · Wordfence