LatePoint: diera umožní prevziať účet zákazníka, aktualizujte
Rezervačný plugin LatePoint do verzie 5.7.6 má vážnu chybu. Cudzí človek bez prihlásenia môže zmeniť heslo zákazníka a dostať sa k jeho rezerváciám, objednávkam a osobným údajom. Oprava je vo verzii 5.7.7, najnovšia je 5.7.8.
Koho sa to týka
Všetkých webov s pluginom LatePoint (Appointment Booking Plugin – LatePoint) vo verzii 5.7.6 alebo staršej. Ohrozený je zákaznícky účet v LatePointe: meno, e-mail, telefón, rezervácie a objednávky. Ak máte zapnuté prepojenie zákazníkov s používateľmi WordPressu, útočník prevezme aj ich účet vo WordPresse (rola zákazník alebo odberateľ). Administrátorský účet tým priamo ohrozený nie je.
Čo urobiť
- Aktualizujte. Vopred si urobte zálohu. V administrácii otvorte Pluginy a pri LatePointe kliknite na Aktualizovať.
- Overte verziu. V Pluginoch musí byť pri LatePointe 5.7.7 alebo vyššia.
- Skontrolujte platené doplnky. Ak máte doplnky LatePoint (Pro Features a ďalšie), aktualizujte ich tiež, nech verzie sedia.
Keď aktualizovať nejde
Zálohujte web a plugin dočasne vypnite. Rezervácie cez web do aktualizácie nepôjdu, ale dáta zákazníkov zostanú v bezpečí. Rezervácie môžete zatiaľ prijímať e-mailom alebo iným nástrojom.
Ako spoznať, že sa to stalo
Ozve sa zákazník, že sa nevie dostať do svojho účtu alebo mu prišiel e-mail o obnovení hesla, o ktorý nežiadal. V prístupovom logu hostingu hľadajte opakované požiadavky na admin-ajax.php s akciami customer_cabinet__change_password a steps__start_from_order_intent z neznámych adries. Ak sa údaje zákazníkov mohli dostať von, riešte to ako únik osobných údajov a dotknutým zákazníkom nastavte nové heslo. Noví administrátori, cudzie súbory alebo presmerovanie by ukazovali na vážnejší útok a chce to kontrolu.
Nie ste si istí? Web si overte v Teste webu, alebo mi napíšte o bezpečnostnú kontrolu webu. Úvodná kontrola je zdarma.
Zdroj: CVE-2026-118066, Wordfence.