CVE-2026-13228

WordPress용 LatePoint – 약속 및 이벤트용 캘린더 예약 플러그인은 5.6.3 이하 버전에서 관리자에 대한 권한 에스컬레이션에 취약합니다. 이는 OsOrdersController의 create_or_update() 함수에 있는 안전하지 않은 IDOR(직접 개체 참조)로 인해 인증된 에이전트가 임의의 주문[고객_id]을 제공하고 다음을 통해 LatePoint 고객의 이메일 필드(WordPress 관리자 계정에 연결된 필드 포함)를 덮어쓸 수 있도록 허용하기 때문입니다. 역할을 확인하지 않고 연결된 WordPress 사용자에 로그인하는 OsAuthHelper::authorize_customer()의 누락된 역할 확인과 결합된 공개 범위 고객 set_data() 호출. 이를 통해 사용자 지정(에이전트) 수준 이상의 액세스 권한을 가진 인증된 공격자가 자신의 권한을 관리자로 승격할 수 있습니다.