PT-2026-37352 · WordPress · Latepoint

Ramon Mateas · Publicado 2026-05-06 · Atualizado 2026-05-06 · CVE-2026-7448

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.2

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas LatePoint – Calendar Booking Plugin for Appointments and Events versões anteriores a 5.5.1

Descrição O plugin é suscetível a Stored Cross-Site Scripting (XSS), uma falha onde scripts maliciosos são armazenados permanentemente no servidor alvo. Isso ocorre devido à sanitização de entrada e escape de saída insuficientes no parâmetro first name. Atacantes não autenticados podem injetar scripts web arbitrários em páginas, que são executados no navegador de qualquer usuário que acesse a página afetada.

Recomendações Atualize o plugin para uma versão posterior a 5.5.0. Como medida paliativa temporária, restrinja ou sanitize a entrada recebida através do parâmetro first name para minimizar o risco de exploração.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-7448

Produtos afetados

Latepoint

Referências · 18

• https://t.me/CVEtracker/52822 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/latepoint/trunk/lib/controllers/activities_controller.php#L270 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-7448 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2051951550986117322 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/latepoint/trunk/lib/helpers/email_helper.php#L50 · Nota
• https://plugins.trac.wordpress.org/browser/latepoint/tags/5.3.2/lib/models/customer_model.php#L376 · Nota
• https://plugins.trac.wordpress.org/browser/latepoint/tags/5.3.2/lib/helpers/replacer_helper.php#L276 · Nota
• https://plugins.trac.wordpress.org/browser/latepoint/trunk/lib/helpers/replacer_helper.php#L276 · Nota
• https://plugins.trac.wordpress.org/browser/latepoint/tags/5.5.0/lib/helpers/replacer_helper.php#L276 · Nota
• https://plugins.trac.wordpress.org/browser/latepoint/tags/5.5.0/lib/models/customer_model.php#L376 · Nota
• https://twitter.com/KaitanSecurity/status/2051942561586016370 · Publicação no Twitter
• https://wordfence.com/threat-intel/vulnerabilities/id/c8eedec9-d8d4-4052-baec-29f83ac306ac?source=cve · Nota
• https://plugins.trac.wordpress.org/browser/latepoint/tags/5.5.0/lib/helpers/email_helper.php#L50 · Nota
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&new=3522933%40latepoint%2Ftrunk&old=3516282%40latepoint%2Ftrunk&sfp_email=&sfph_mail= · Nota
• https://plugins.trac.wordpress.org/browser/latepoint/tags/5.5.0/lib/controllers/activities_controller.php#L270 · Nota