CVE-2026-9719
El plugin LatePoint – Calendar Booking Plugin for Appointments and Events para WordPress es vulnerable a Cross-Site Request Forgery (CSRF) en todas las versiones hasta y inclusive la 5.6.0. Esto se debe a la falta o validación incorrecta de nonces en la función change_status. Esto permite que atacantes no autenticados cambien el estado de facturas arbitrarias — incluyendo marcar facturas sin pagar como pagadas — sin consentimiento del administrador mediante una solicitud falsificada, siempre y cuando puedan engañar a un administrador del sitio para que realice una acción como hacer clic en un enlace.
Traducción automática del texto original de la fuente. Ver original
Fuente: CVE.org