CVE-2026-105256 Evasión de pago en LatePoint por el parámetro payment_portion

Qué es CVE-2026-105256

El plugin LatePoint de WordPress anterior a 5.7.5 no valida el valor provisto por el cliente que determina cuánto se cobra por una reserva contra los montos que el servicio y el sitio permiten. Un visitante no autenticado puede hacer que el monto a pagar sea cero y obtener una cita confirmada y un pedido registrado sin completar ningún pago.

Productos y versiones afectadas

• LatePoint

  • hasta antes de 5.7.5

Qué hacer

1. Verificá si usás LatePoint y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

The LatePoint WordPress plugin before 5.7.5 does not validate the client-supplied value that determines how much is charged for a booking against the amounts the service and site actually allow, allowing an unauthenticated visitor to make the amount due resolve to zero and obtain a confirmed appointment and a recorded order without completing any payment.

Referencias

• wpscan.com/vulnerability/53a81b39-e86b-4b73-8b4f-64746684055d/EXPLOIT · VDB-ENTRY · TECHNICAL-DESCRIPTION

Historial de la alerta

1. 21 OCT · 06:24VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.