LatePoint <= 5.3.2 认证存储型XSS漏洞 (CVE-2026-5391)

漏洞概述 漏洞名称: LatePoint <= 5.3.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode Attributes CVE ID: CVE-2026-5391 CVSS评分: 6.4 (Medium) 发布日期: 2026年8月5日 最后更新日期: 2026年8月6日 研究人员: alex_henry20 影响范围 受影响软件: Appointment Booking Plugin – LatePoint 受影响版本: <= 5.3.2 修复版本: 5.4.0 修复方案 修复措施: 更新到版本 5.4.0 或更高版本 漏洞描述 LatePoint 插件在 WordPress 中存在存储型跨站脚本（XSS）漏洞。攻击者可以通过 短代码的 属性注入恶意脚本。该漏洞发生在 函数的 分支中，由于输入 sanitization 和输出转义不足，导致在用户访问页面时执行恶意脚本。 参考链接 plugins.trac.wordpress.org 其他信息 软件类型: Plugin 软件 Slug: latepoint 是否已修复: Yes 修复版本: 5.4.0 近期相关漏洞 LatePoint - Calendar Booking Plugin for Appointments and Events <= 5.4.0 - Unauthenticated Stripe PaymentIntent Amount Binding Bypass - CVE ID: CVE-2026-5356 - CVSS评分: 7.5 - 研究人员: Andrea Cruciani - 发布日期: 2026年7月7日 LatePoint <= 5.6.1 - Missing Authorization to Unauthenticated Arbitrary Customer Data Modification via process_step_customer() Booking Form Customer Step - CVE ID: CVE-2026-11398 - CVSS评分: 5.3 - 研究人员: hhhai - 发布日期: 2026年7月2日 LatePoint <= 5.6.2 - Unauthenticated Insecure Direct Object Reference to Arbitrary Creation via /service_id Parameter - CVE ID: CVE-2026-12657 - CVSS评分: 5.3 - 研究人员: gidget smith - 发布日期: 2026年7月1日 LatePoint <= 5.6.3 - Authenticated (Custom+) Privilege Escalation to Administrator via /order/customer_id Parameter - CVE ID: CVE-2026-13228 - CVSS评分: 8.8 - 研究人员: d_v4n_s3c - 发布日期: 2026年6月30日 LatePoint <= 5.6.2 - Cross-Site Request Forgery - CVE ID: CVE-2026-11866 - CVSS评分: 4.3 - 研究人员: Meher Sudhakar Abbireddi - 发布日期: 2026年6月25日 LatePoint <= 5.5.1 - Authenticated (Agent+) Privilege Escalation to Administrator via IDOR in OxDashboardController::create_or_update + Unauthenticated Customer-Cabinet Password Reset - CVE ID: CVE-2026-8176 - CVSS评分: 7.5 - 研究人员: d_v4n_s3c - 发布日期: 2026年6月15日 LatePoint <= 5.6.0 - Cross-Site Request Forgery via invoices_change_status Action - CVE ID: CVE-2026-9719 - CVSS评分: 4.3 - 研究人员: alex_henry20 - 发布日期: 2026年6月5日 LatePoint - Calendar Booking Plugin for Appointments and Events <= 5.5.1 - Authenticated (Contributor+) Privilege Escalation - CVE ID: CVE-2026-49083 - CVSS评分: 8.8 - 研究人员: VanTastic - 发布日期: 2026年6月5日 LatePoint <= 5.3.2 - Cross-Site Request Forgery via /customer_cabinet_request_cancellation/ AJAX Route - CVE ID: CVE-2026-5365 - CVSS评分: 4.3 - 研究人员: Tulgaasa - 发布日期: 2026年5月13日 总结 LatePoint 插件在版本 5.3.2 及以下存在存储型跨站脚本（XSS）漏洞，建议用户尽快更新至 5.4.0 或更高版本以修复此漏洞。

目标达成感谢每一位支持者 — 我们达成了 100% 目标！

LatePoint <= 5.3.2 认证存储型XSS漏洞 (CVE-2026-5391)

同源更多文章

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

LatePoint <= 5.3.2 认证存储型XSS漏洞 (CVE-2026-5391)

同源更多文章

目标达成感谢每一位支持者 — 我们达成了 100% 目标！