LatePoint Appointment Booking Plugin: Nicht authentifizierte Ausführung beliebiger Shortcodes

Zusammenfassung

Das LatePoint Appointment Booking Plugin für WordPress bis und mit Version 5.7.0 validiert einen Wert nicht korrekt, bevor er an do_shortcode übergeben wird. Ein nicht authentifizierter Angreifer kann über das öffentliche Buchungsformular, zum Beispiel im Feld für Vor- oder Nachname, einen Shortcode-Payload hinterlegen, der bei der Ausgabe des Kundenbereichs ausgeführt wird. Je nach registrierten Shortcodes der Website kann die Auswirkung bis zur Codeausführung reichen, weshalb für exponierte Websites vom schlimmsten Fall ausgegangen werden sollte.

Betroffen

• LatePoint Appointment Booking Plugin für WordPress, alle Versionen bis und mit 5.7.0

Behoben in

• Version 5.7.1 enthält laut WordPress.org-Changelog eine Korrektur der gemeldeten Sicherheitsfehler; die CVE-Nummer wird dort nicht genannt.
• Aktuelle Version gemäss WordPress.org: 5.7.6 (enthält spätere Sicherheitskorrekturen).
• Hinweis: WordPress.org und das Changelog des Herstellers nennen unterschiedliche Veröffentlichungsdaten für 5.7.1. Die installierte Version direkt überprüfen.

Umgehung

• Es ist kein vom Hersteller dokumentierter Workaround bekannt.
• Falls sich ein Update nicht sofort einspielen lässt, das Plugin bis zur Aktualisierung deaktivieren.

Ausnutzung

• Auf Sploitus ist ein öffentliches Proof-of-Concept-Repository gelistet; dessen Code wurde nicht geprüft.
• VulDB gibt an, dass kein Exploit verfügbar ist, was im Widerspruch zum öffentlichen PoC steht.
• Keine bestätigte Ausnutzung in freier Wildbahn gefunden. CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja.

Unsere Empfehlung

• LatePoint-Versionen auf allen Kunden-WordPress-Websites inventarisieren.
• Auf die aktuelle Version (zum Zeitpunkt der Erstellung 5.7.6) aktualisieren, nicht nur auf 5.7.1.
• Falls eine Website während der Version 5.7.0 oder früher exponiert war, auf unerwartete Buchungseinträge oder ungewöhnliche Inhalte in Kundennamen prüfen.
• Für aus dem Internet erreichbare WordPress-Websites hohe Priorität einplanen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  murrez/CVE-2026-92966

Quellen der Recherche

• Wordfence advisory (CVE reference) www.wordfence.com
• VulDB CVE-2026-92966 vuldb.com
• VulDB exploit status vuldb.com
• Lilting article on LatePoint shortcode vulnerabilities lilting.ch
• WordPress.org LatePoint plugin page wordpress.org
• LatePoint changelog latepoint.com
• WPScan LatePoint plugin wpscan.com
• Sploitus exploit entry sploitus.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:46.