CVE-2026-92966: Kritisk fejl i LatePoint til WordPress

CVE-2026-92966 er en sårbarhed i WordPress-pluginnet LatePoint, der bruges til at håndtere bookinger og kalenderaftaler. Fejlen skyldes kode-indsprøjtning, hvor pluginnet ikke kontrollerer en værdi, før den sendes videre til WordPress’ funktion do_shortcode. Shortcodes er korte koder i klammer, som WordPress omsætter til funktioner, for eksempel formularer eller betalingsknapper. En angriber kan uden at være logget ind placere en skadelig shortcode i navnefeltet under den almindelige bookingproces. Koden ligger gemt, til en medarbejder åbner kundens profil i Customer Cabinet, hvor WordPress genlæser og udfører den indlejrede shortcode.

Alle danske virksomheder og kommuner, der kører WordPress med pluginnet LatePoint (Appointment Booking Plugin) i version 5.7.0 eller ældre. Det gælder typisk klinikker, frisører, konsulenter og andre virksomheder, der bruger LatePoint til online booking af tider og ressourcer.

En uautentificeret angriber kan afgive en booking med et skjult angreb gemt i navnefeltet. Når en medarbejder eller administrator efterfølgende åbner kundens dashboard, udføres angrebet automatisk via WordPress’ shortcode-mekanisme. Afhængigt af hvilke andre plugins der er installeret, kan det bruges til at udtrække fortrolige data, ændre indhold på siden eller skabe en vej til at overtage administratoradgang. Der er ikke risiko for, at siden går ned, da angrebet ikke påvirker tilgængeligheden, men fortrolighed og integritet af data er direkte i fare.

CVSS-scoren er 9,1 ud af 10, kritisk. Angrebet kræver ingen login og ingen handling fra et offer udover at en medarbejder åbner kundeoversigten, som er en del af det daglige arbejde. Både fortrolighed og integritet rammes hårdt, mens tilgængeligheden ikke påvirkes. Der er pr. offentliggørelsesdatoen ikke oplysninger om, at sårbarheden aktivt udnyttes i angreb, men den tekniske beskrivelse er detaljeret nok til, at et angreb kan udvikles hurtigt.

Sårbarheden lukkes ved at opdatere pluginnet. Følg disse skridt:

1. Opdatér LatePoint-pluginnet til den nyeste version via WordPress-administrationen. Versioner efter 5.7.0 retter fejlen.
2. Kan opdateringen ikke gennemføres straks, deaktivér pluginnet eller spær adgangen til bookingformularen, til opdateringen er installeret.
3. Gennemgå nylige bookinger for mistænkelige navne eller felter med usædvanlige tegn som klammer eller shortcode-mønstre.
4. Tjek administratorbrugere og webshell-indikatorer, hvis der er tegn på, at sårbarheden er udnyttet før opdateringen.
5. Sørg for, at WordPress og øvrige plugins også er opdateret, da angrebet kan kombineres med andre svagheder i sitet.
6. Kontakt en it-sikkerhedsrådgiver, hvis jeres site allerede viser tegn på kompromittering, eller hvis I ikke selv kan verificere, at opdateringen er installeret korrekt.