CVE-2026-92966

严重已发布

Appointment Booking 插件 <= 5.7.0 - 通过名字/姓氏字段的未认证任意短代码执行

已发布: 2026年10月1日
已更新: 2026年10月1日
分配 CNA: Wordfence
观察到的证据: 2026年11月4日

初级CVSS

9.1/ 10严重

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

EPSS概率估计

0.7%

低 · 未来 30 天

百分位: 53.7%
型号日期: 2026年11月4日

EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。

总结

WordPress 插件 The Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress 在所有版本（包括 5.7.0）中均存在任意短代码执行漏洞。该漏洞源于软件允许用户执行某个操作，而该操作在运行 do_shortcode 之前未正确验证某个值。这使得未经身份验证的攻击者能够执行任意短代码。攻击载荷在未经身份验证的预约流程中被植入，并在由 render_customer_dashboard() 渲染的 Customer Cabinet 区块将存储的名称输出到内容流时被触发，此时 WordPress 核心在优先级 11 上的 do_shortcode 过滤器会重新解析并执行该载荷。

来源

CVE-2026-92966PoC
针对 CVE-2026-92966 的 Python PoC 与批量利用工具，该漏洞是 WordPress LatePoint ≤5.7.0 中通过预约姓名字段实现的未认证存储型短代码执行。

负责任的使用

仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。