Fuente base de datos: Wordfence Intelligence

LatePoint <= 5.5.1 - Authenticated (Agent+) Privilege Escalation to Administrator via IDOR in OsOrdersController::create_or_update + Unauthenticated Customer-Cabinet Password Reset (escalada de privilegios) - version 5.5.2

PLUGIN HIGH CVE-2026-8176

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin LatePoint, que permite la escalada de privilegios a administrador mediante un fallo de control de acceso. Esta situación puede comprometer la seguridad operativa y la integridad de los datos de los usuarios.

Contexto técnico

El fallo se encuentra en el controlador OsOrdersController::create_or_update, donde se produce una vulnerabilidad de tipo IDOR (Insecure Direct Object Reference). Esto permite a usuarios autenticados con rol de agente elevar sus privilegios a administrador, lo que expone la superficie de ataque a manipulaciones maliciosas.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la pérdida de control administrativo sobre el sistema, permitiendo a un atacante realizar acciones no autorizadas que afecten la seguridad de los datos y la continuidad del negocio.

Vector de explotación

Generalmente, un atacante autenticado puede manipular las solicitudes hacia el controlador afectado, alterando parámetros para acceder a funciones restringidas.

Mitigación recomendada

Actualizar el plugin LatePoint a la versión 5.5.2 o superior para corregir la vulnerabilidad. Revisar y reforzar las políticas de acceso y permisos de los usuarios autenticados. Realizar auditorías de seguridad periódicas para identificar y mitigar otros posibles vectores de ataque.

Señales de detección

Monitorear logs de acceso para detectar patrones inusuales en las solicitudes a OsOrdersController, así como cualquier intento de acceso a funciones administrativas por usuarios no autorizados.

Alcance afectado

Las versiones de LatePoint anteriores a la 5.5.2 son vulnerables. No se han reportado casos de explotación en versiones posteriores.

Vulnerabilidades relacionadas

HIGH PLUGIN

latepoint

LatePoint – Calendar Booking Plugin for Appointments and Events <= 5.5.1 - Authenticated (Contributor+) Privilege Escalation

HIGH PLUGIN

latepoint

LatePoint <= 5.4.1 - Authenticated (Agent+) Privilege Escalation to Administrator via 'connect-customer-to-wp-user' Ability

HIGH PLUGIN

latepoint

LatePoint <= 5.2.7 - Authenticated (Agent+) Privilege Escalation

¿Tu WordPress podría estar expuesto?

Comprueba si tu web tiene esta vulnerabilidad

Nuestro analizador detecta plugins desactualizados, brechas de seguridad activas y vulnerabilidades conocidas en menos de 2 minutos, de forma gratuita.

Hacer el análisis gratis

Protección profesional para tu WordPress

¿Necesitas ayuda de un experto?

Nuestro servicio de mantenimiento y seguridad WordPress gestiona actualizaciones, parchea vulnerabilidades y monitoriza tu web de forma continua.

Hablar con un experto