LatePoint Appointment Booking Plugin: Authentifizierungsumgehung durch Race Condition bei OTP-Prüfung
Zusammenfassung
Das WordPress-Plugin LatePoint (alle Versionen bis einschliesslich 5.7.4) erzwingt das Limit von 10 OTP-Prüfversuchen bei gleichzeitigen Anfragen nicht. Ein nicht authentifizierter Angreifer, der die registrierte E-Mail-Adresse oder Telefonnummer eines Kunden kennt, kann parallele Anfragen an den OTP-Prüfendpunkt senden, den 6-stelligen Code erraten und sich als dieser Kunde anmelden. Betroffen sind Buchungen und Personendaten der Kundenkonten.
Betroffen
- LatePoint Appointment Booking Plugin für WordPress, alle Versionen bis einschliesslich 5.7.4
Behoben in
- Version 5.7.5 wird laut WPScan als Korrektur genannt; der Changelog des Herstellers nennt diese CVE nicht. Version 5.7.6 ist zum Zeitpunkt der Erfassung die neueste Version.
Umgehung
- Unbekannt. Keine vom Hersteller veröffentlichte Umgehungslösung. Mögliche allgemeine Massnahmen: Anfragen an den OTP-Prüfendpunkt im WAF oder Reverse Proxy begrenzen oder blockieren und auf Serien von Prüfversuchen überwachen.
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt; keine bekannte aktive Ausnutzung.
- Bisher kein öffentlicher Proof-of-Concept bekannt.
- CISA SSVC: automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- LatePoint auf allen WordPress-Seiten, auch auf Testsystemen, auf Version 5.7.6 (mindestens 5.7.5) aktualisieren und die installierte Version prüfen.
- Bis zur Aktualisierung den OTP-Prüfendpunkt begrenzen oder blockieren und auf Brute-Force-Muster sowie Anmeldungen nach vielen Fehlversuchen überwachen.
- Kundenkonten auf unerwartete Anmeldungen oder Buchungen prüfen und beurteilen, ob Personendaten betroffen sind.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Wordfence advisory www.wordfence.com
- WPScan LatePoint plugin page wpscan.com
- GitHub advisory GHSA-3xwr-ghgc-2994 github.com
- WordPress.org LatePoint plugin page wordpress.org
- VulDB CVE-2026-110653 vuldb.com
- Vulners CVE record vulners.com
- TheHackerWire CVE-2026-110653 www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 06:23.
Referenzen der NVD (7)
- https://plugins.trac.wordpress.org/browser/latepoint/tags/5.7.4/lib/controllers/auth_controller.php#L14
- https://plugins.trac.wordpress.org/browser/latepoint/tags/5.7.4/lib/controllers/auth_controller.php#L30
- https://plugins.trac.wordpress.org/browser/latepoint/tags/5.7.4/lib/helpers/otp_helper.php#L185
- https://plugins.trac.wordpress.org/browser/latepoint/tags/5.7.4/lib/helpers/otp_helper.php#L228
- https://plugins.trac.wordpress.org/browser/latepoint/tags/5.7.4/lib/models/model.php#L773
- https://plugins.trac.wordpress.org/browser/latepoint/tags/5.7.5/lib/helpers/otp_helper.php
- https://www.wordfence.com/threat-intel/vulnerabilities/id/61fbc1dd-06c9-409b-8cad-3f350b38dfc3?source=cve
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.