使用 LatePoint 接受預約的 WordPress 網站，請先查外掛版本。Wordfence 披露 CVE-2026-118066：受影響版本的客戶密碼重設驗證可被繞過，未登入的人可能改掉客戶密碼，進而查看該客戶的預約及訂單資料。
更新到哪個版本
| 項目 | 版本或日期 |
|---|---|
| 受影響版本 | 5.7.6 及以前 |
| 本項修補 | 5.7.7 或更新版本 |
| 原廠發行 | 5.7.7 於 11 月 2 日；5.7.8 於 11 月 3 日 |
修補版早於漏洞公告。Wordfence 的披露時間為 2026 年 11 月 6 日 UTC，即香港時間 11 月 7 日早上；CVE 公開紀錄也在 11 月 7 日發布。已在 5.7.7 或更新版的網站，核對實際啟用版本即可，不必為這一項退回 5.7.7。
受影響的是客戶密碼重設流程
問題出在公開的客戶密碼重設路徑：外掛處理資料庫查詢條件時，可能把外來值當成查詢指令，沒有按原設計驗證特定客戶的重設憑證。查詢中最先符合條件且處於重設有效期的客戶記錄，可能因此被改密碼。公告指出，攻擊者可以自己觸發重設流程以滿足有效期條件，不需要客戶主動點開郵件。
主要影響是 LatePoint 客戶帳戶、預約、訂單與個人資料。若網站啟用了將 WordPress 使用者當成 LatePoint 客戶的功能，並有相連的訂閱者或顧客角色，該 WordPress 帳戶也可能受到影響。這不等於能接管任意管理員帳戶；本次查到的公開原始資料也沒有可核對的實際入侵案例。
更新後怎麼驗收
請維護者備份後更新 LatePoint，在自家測試環境用兩個虛構客戶驗證登入、重設密碼及預約查看。正常重設應只影響提出申請的帳戶；另一個客戶的密碼和預約資料應維持原狀。若站點開啟 WordPress 帳戶連動，也要驗證連動後的登入與角色權限。
若更新前出現非預期密碼變更、客戶抱怨無法登入，或訂單和預約有可疑修改，先保存當時的日誌與紀錄，由維護者判斷受影響帳戶並處理工作階段。升級能補上驗證缺口，但不會自動復原已被更改的資料。
資料核對日期：2026 年 11 月 8 日。封面為 AI 生成的概念插畫。
