LatePoint Appointment Booking Plugin: Privilegienerweiterung zu WordPress-Administrator

Zusammenfassung

Das LatePoint Appointment Booking Plugin für WordPress bis und mit Version 5.7.3 beschränkt nicht, welche Werte für die Standard-WordPress-Rolle neuer Kunden gesetzt werden dürfen. Ein authentifizierter Benutzer mit einer LatePoint-Rolle, die die Berechtigung settings__edit besitzt, kann diese Rolle auf Administrator setzen. Jedes anschliessend über LatePoint selbst registrierte Kundenkonto erhält danach volle WordPress-Administratorrechte, was eine vollständige Übernahme der Website ermöglicht. Voraussetzung ist, dass ein Administrator settings__edit einer LatePoint-Rolle gewährt hat und danach ein neuer Kunde registriert wird.

Betroffen

• LatePoint Appointment Booking Plugin (Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress) bis und mit Version 5.7.3
• Standardkonfiguration: nicht betroffen

Behoben in

Unbekannt. Der Hersteller hat die erste korrigierte Version nicht bestätigt. Auf die neueste verfügbare LatePoint-Version aktualisieren (zum Zeitpunkt der Recherche 5.7.6) und die Version überprüfen.

Umgehung

• Die Berechtigung settings__edit von allen LatePoint-Agenten- und benutzerdefinierten Rollen entfernen, die sie nicht benötigen.
• Prüfen, dass die Standard-WordPress-Rolle für LatePoint-Kunden nicht auf Administrator gesetzt ist.
• Kürzlich erstellte WordPress-Administratorkonten prüfen, insbesondere solche, die über LatePoint-Registrierungen erstellt wurden.

Ausnutzung

• Kein öffentlicher Proof of Concept und kein Exploit gefunden.
• Nicht im CISA KEV Katalog aufgeführt.
• CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total.
• EPSS: 0.00293.

Unsere Empfehlung

• LatePoint auf die neueste Version aktualisieren und die installierte Version überprüfen.
• Bis zur Aktualisierung die Workarounds anwenden.
• Die Berechtigung settings__edit nur vertrauenswürdigen Administratoren zuweisen.
• WordPress-Benutzerkonten auf unerwartete Administratoren prüfen und unbekannte entfernen.
• Neue Kundenregistrierungen und Änderungen von Administratorrollen überwachen.
• Die Priorität ist hoch für Websites mit mehreren LatePoint-Mitarbeiterrollen oder öffentlicher Kundenregistrierung, und mittel für Websites mit einem einzigen Administrator ohne benutzerdefinierte Rollen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence record www.wordfence.com
• Vulnerable code: settings_controller.php (tag 5.7.3) plugins.trac.wordpress.org
• Vulnerable code: settings_helper.php (tag 5.7.3) plugins.trac.wordpress.org
• CVE details (OpenCVE) app.opencve.io
• Rapid7 / Vulners record vulners.com
• LatePoint changelog latepoint.com
• WordPress plugin directory: LatePoint wordpress.org
• Patchstack LatePoint vulnerability history patchstack.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:47.