CVE-2026-92966
Appointment Booking Plugin <= 5.7.0 - Ejecución arbitraria de shortcode no autenticada mediante el campo Nombre/Apellido
- Publicado
- 1 oct 2026
- Actualizado
- 1 oct 2026
- Asignación de CNA
- Wordfence
- Evidencia observada
- 4 nov 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:NBajo · próximos 30 días
- Percentil
- 53,7 %
- Fecha del modelo
- 4 nov 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
El plugin The Appointment Booking Plugin – LatePoint | Calendar & Scheduling para WordPress es vulnerable a la ejecución arbitraria de shortcodes en todas las versiones hasta la 5.7.0, inclusive. Esto se debe a que el software permite a los usuarios ejecutar una acción que no valida correctamente un valor antes de ejecutar do_shortcode. Esto hace posible que atacantes no autenticados ejecuten shortcodes arbitrarios. El payload se implanta durante el flujo de reserva no autenticado y se activa cuando el bloque Customer Cabinet renderizado por render_customer_dashboard() emite el nombre almacenado en el flujo de contenido, donde el filtro do_shortcode del núcleo de WordPress, en la prioridad 11, lo vuelve a analizar y ejecutar.
Fuentes
PoC en Python y herramienta de explotación masiva para CVE-2026-92966, una ejecución de shortcode almacenado sin autenticación en WordPress LatePoint ≤5.7.0 a través de los campos de nombre de reserva.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.