CVE-2026-104766

Nome do Software Vulnerável e Versões Afetadas LatePoint versões anteriores a 5.7.4

Descrição Existe um problema onde o manipulador OsSettingsController::update() itera sobre parâmetros settings fornecidos por um invasor sem uma lista de permissões (allowlist) de nomes ou valores permitidos. Além disso, a função OsSettingsHelper::prepare value() não realiza a validação de lista de permissões de função antes de persistir a configuração default wp role for customer, pois a restrição existe apenas na interface do usuário e não é aplicada no servidor. Isso permite que invasores autenticados com a capacidade settings edit, como agentes ou funções personalizadas, alterem a função padrão do WordPress para novos clientes para administrator. Consequentemente, qualquer nova conta de cliente registrada através do plugin receberá privilégios totais de administrador do WordPress. Isso requer que um administrador tenha concedido previamente a capacidade settings edit à função do invasor.

Recomendações Atualize para a versão 5.7.4 ou posterior. Restrinja a capacidade settings edit apenas a usuários altamente confiáveis para minimizar o risco de alterações de configuração não autorizadas.