LatePoint: díra umožní převzít účet zákazníka, aktualizujte
Rezervační plugin LatePoint do verze 5.7.6 má vážnou chybu. Cizí člověk bez přihlášení může změnit heslo zákazníka a dostat se k jeho rezervacím, objednávkám a osobním údajům. Oprava je ve verzi 5.7.7, nejnovější je 5.7.8.
Koho se to týká
Všech webů s pluginem LatePoint (Appointment Booking Plugin – LatePoint) ve verzi 5.7.6 nebo starší. Ohrožen je zákaznický účet v LatePointu: jméno, e-mail, telefon, rezervace a objednávky. Pokud máte zapnuté propojení zákazníků s uživateli WordPressu, útočník převezme i jejich účet ve WordPressu (role zákazník nebo odběratel). Administrátorský účet tím přímo ohrožen není.
Co udělat
- Aktualizujte. Předem si udělejte zálohu. V administraci otevřete Pluginy a u LatePointu klikněte na Aktualizovat.
- Ověřte verzi. V Pluginech musí být u LatePointu 5.7.7 nebo vyšší.
- Zkontrolujte placené doplňky. Máte-li doplňky LatePoint (Pro Features a další), aktualizujte je také, ať spolu verze sedí.
Když aktualizovat nejde
Zálohujte web a plugin dočasně vypněte. Rezervace přes web do aktualizace nepůjdou, ale data zákazníků zůstanou v bezpečí. Rezervace můžete zatím přijímat e-mailem nebo jiným nástrojem.
Jak poznat, že se to stalo
Ozve se zákazník, že nemůže do svého účtu nebo mu přišel e-mail o obnovení hesla, o který nežádal. V přístupovém logu hostingu hledejte opakované požadavky na admin-ajax.php s akcemi customer_cabinet__change_password a steps__start_from_order_intent z neznámých adres. Pokud se údaje zákazníků mohly dostat ven, řešte to jako únik osobních údajů a dotčeným zákazníkům nastavte nové heslo. Noví administrátoři, cizí soubory nebo přesměrování by ukazovaly na vážnější napadení a chce to kontrolu.
Nejste si jistí? Web si ověřte v Testu webu, nebo mi napište o bezpečnostní kontrolu webu. Úvodní kontrola je zdarma.
Zdroj: CVE-2026-118066, Wordfence.