LatePoint présente un contournement d’authentification pouvant permettre à un utilisateur authentifié avec un rôle de niveau Subscriber ou supérieur de prendre le contrôle du compte client d’une autre personne dans certaines conditions. Les versions jusqu’à 5.7.2 inclus sont affectées lorsque l’option d’utilisation des comptes WordPress comme clients est activée ; aucune version corrective n’est indiquée dans le candidat fourni.
Source : NVD — CVE-2026-100163
Analyse technique
La création ou l’association d’un utilisateur WordPress peut se baser sur un identifiant de connexion correspondant à l’adresse e-mail d’un client, même si l’adresse e-mail du compte diffère. La condition indiquée est l’activation de l’option « Use WordPress users as customers ».
Impact, versions et correctif
Action recommandée
Désactiver l’option « Use WordPress users as customers » si elle est activée et appliquer une mise à jour corrective dès sa disponibilité.
Sources
Priorisation DFS : P3 · 1 source(s).