LatePoint : exposition de données sensibles de réservation

Veille sécuritéCMS & e-commerce

P4Moyenne

Le plugin LatePoint divulgue des données de réservation sensibles, notamment des notes internes et des informations de contact, à des utilisateurs authentifiés disposant au moins du rôle Abonné. La fiche publiée le 14 octobre indique que toutes les versions jusqu’à 5.7.3 inclus sont concernées ; aucun correctif n’est précisé dans les données fournies.

IdentifiantCVE-2026-103380

GravitéMoyenne

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-103380

Analyse technique

L’exploitation passe par le paramètre params[customer][first_name] et le rendu de notifications par courriel, qui peut révéler des champs réservés aux administrateurs ainsi que des jetons et URL de paiement.

Impact, versions et correctif

Événement datéPublication de la fiche NVD pendant la période : 2026-10-14T08:17:02.700Z. La date de publication, et non la mise à jour ultérieure de la fiche, est l’événement retenu.

ImpactDes utilisateurs authentifiés de niveau Abonné ou supérieur peuvent accéder à des données de réservation privilégiées, dont des notes administratives, des coordonnées internes et des éléments liés aux paiements.

Versions affectéesToutes les versions jusqu’à 5.7.3 inclus

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS4.3

EPSS0,31% · percentile 22,2%

Publication2026-10-14T08:17:02.700Z

Mise à jour2026-10-14T14:26:59.367Z

Action recommandée

Mettre à jour le plugin lorsqu’un correctif est disponible ; dans l’intervalle, limiter les comptes authentifiés et surveiller l’accès aux données de réservation.

Sources

NVD — CVE-2026-103380

Priorisation DFS : P4 · 1 source(s).