LatePoint : contournement d’authentification et prise de contrôle de compte

Veille sécuritéCMS & e-commerce

P3Critique

LatePoint est vulnérable à un contournement d’authentification permettant la prise de contrôle d’un compte client et, dans certaines configurations, d’un compte WordPress associé. La fiche NVD publiée pendant la période indique que toutes les versions jusqu’à 5.7.6 inclus sont concernées; aucun correctif n’est précisé dans les informations fournies.

IdentifiantCVE-2026-118066

GravitéCritique

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-118066

Analyse technique

La construction de requête dans OsModel::build_conditions_query() traite des valeurs sentinelles comme IS NOT NULL sans liaison de paramètre. Le parcours public de changement de mot de passe peut ainsi viser un compte client; l’accès au compte WordPress associé dépend de la configuration wp_users_as_customers.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-07T12:17:43.717Z, dans la période demandée. Sa mise à jour du 2026-11-08 est postérieure à la période et n’est pas retenue comme événement.

ImpactPrise de contrôle d’un compte client et, selon la configuration, du compte WordPress associé; accès possible aux réservations, commandes et données personnelles.

Versions affectéesToutes les versions jusqu’à 5.7.6 inclus

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.1

Publication2026-11-07T12:17:43.717Z

Action recommandée

Mettre à jour vers une version corrigée dès qu’elle est disponible; vérifier auprès de l’éditeur la version à installer.

Sources

NVD — CVE-2026-118066

Priorisation DFS : P3 · 1 source(s).