LatePoint mit über 100.000 Installationen: Fremde konnten Kundenkonten übernehmen

Im Terminbuchungs-Plugin LatePoint konnten Fremde bis Version 5.7.4 ohne Anmeldung ein Kundenkonto übernehmen, sofern sie die E-Mail-Adresse oder Telefonnummer des Kunden kannten. Wordfence stuft die Lücke mit 9,1 von 10 Punkten als kritisch ein. Version 5.7.5 vom 16. Oktober schließt sie. Für das Plugin mit über 100.000 Installationen erschienen damit seit dem 22. September vier Updates mit Sicherheitskorrekturen.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Am 16. Oktober veröffentlichte Wordfence zwei neue LatePoint-Lücken. Die schwerere, CVE-2026-110653, meldete der Sicherheitsforscher Ekene Umegakwe. Die zweite (CVE-2026-111602, CVSS 3.1: 3,7) legt Kundendaten nur offen, wenn ein Betreiber den Kundenlogin abgeschaltet hat und Gäste buchen lässt.^[1][2]

Das Wichtigste in Kürze

• In LatePoint bis 5.7.4 ließen sich Kundenkonten ohne Anmeldung übernehmen, behoben in 5.7.5 (CVSS 3.1: 9,1, vergeben von Wordfence).
• Der Angreifer braucht nur die E-Mail-Adresse oder Telefonnummer eines registrierten Kunden.
• Laut wordpress.org liefen am 17. Oktober rund 37 Prozent der Installationen auf Versionen vor 5.7.
• Angriffe sind bis zum 17. Oktober nicht bekannt.

Wie umgeht ein Angreifer die Sperre nach zehn Fehlversuchen?

LatePoint kann Kunden mit einem Einmalcode anmelden, den das Plugin per E-Mail verschickt. Der Code hat sechs Stellen und gilt zehn Minuten. Nach zehn falschen Eingaben sperrt LatePoint ihn. Laut Wordfence las das Plugin den Zähler der Fehlversuche aber zuerst aus und schrieb den erhöhten Wert erst später zurück. Kamen viele Prüfanfragen gleichzeitig an, griff das Plugin für jede auf denselben alten Zählerstand zurück. Die Sperre griff zu spät. Der Angreifer konnte weit mehr als zehn Codes durchprobieren.^[1]

Fachleute nennen diesen Fehler Race Condition: Gleichzeitige Anfragen überholen einander, das Ergebnis hängt von der Reihenfolge ab. Trifft der Angreifer den richtigen Code, ist er als dieser Kunde angemeldet und sieht laut Wordfence Konto, Buchungen und persönliche Daten. Auch der Schutz gegen untergeschobene Anfragen hilft nicht: LatePoint gibt das nötige Sicherheitsmerkmal an jeden Besucher aus, der einen Code anfordert.^[1] Laut Quellcode verbucht Version 5.7.5 jeden Versuch zuerst in der Datenbank und prüft erst danach den Code, auch bei gleichzeitigen Anfragen.^[4]

Warum folgt bei LatePoint eine Lücke auf die nächste?

Seit dem 30. September hat Wordfence 14 neue Lücken in LatePoint verzeichnet, acht davon ohne Anmeldung ausnutzbar.^[5] Dr. Web berichtete am 1. Oktober über eine Shortcode-Lücke und am 10. Oktober über eine SQL-Injection-Lücke ohne Login. Am 13. Oktober folgte eine weitere Lücke zur Kontoübernahme (CVE-2026-100163, CVSS 3.1: 7,4). Sie greift nur bei Betreibern, die WordPress-Nutzer als Kunden führen. Behoben ist sie seit Version 5.7.3.^[3]

Die meisten Lücken ohne Login stecken in den öffentlichen Buchungsschritten, die jeder Besucher ohne Konto aufruft.^[5] Seit Version 5.7.0 vom 16. September wickelt LatePoint darüber auch Anmeldungen zu Veranstaltungen ab.^[4] Jede neue Funktion in diesem Ablauf schafft eine weitere Stelle, an der das Plugin fremde Eingaben prüfen muss. Dem Muster folgt auch die Lücke vom 13. Oktober: Sie setzt ebenfalls an einem öffentlichen Buchungsschritt an.^[3]

Was sollten Betreiber jetzt tun?

• Aktualisieren: Bringen Sie LatePoint auf 5.7.5 oder neuer und prüfen Sie, ob automatische Plugin-Updates eingeschaltet sind. Das Update schließt auch die Lücke im Gastmodus.^[4]
• Kundenkonten sichten: Achten Sie auf geänderte Kontaktdaten und stornierte oder verschobene Termine, die kein Kunde angefordert hat.
• Melden: Sind personenbezogene Daten an Fremde gelangt, prüfen Sie die Meldepflicht nach Art. 33 DSGVO, die 72 Stunden Zeit lässt. Bei Praxen und Beratungsstellen können Termine Rückschlüsse auf Gesundheitsdaten zulassen, die Art. 9 DSGVO besonders schützt.^[6]

Agenturen mit vielen Kundenwebsites aktualisieren zuerst Installationen mit Kundenlogin. Grundregeln bündelt der Ratgeber zur WordPress-Sicherheit. Managed-Hoster aus dem WordPress-Hosting-Vergleich bieten teils automatische Plugin-Updates an.

FAQ: LatePoint mit über 100.000 Installationen: Fremde konnten Kundenkonten übernehmen

Quellen

Mehr Newshunger?

• Rank Math Pro: Update 3.0.123 brachte Schadcode auf WordPress-Websites
• Forminator mit über 600.000 Installationen: Shortcode-Lücke ohne Login
• Backuply mit über 600.000 Installationen: Eine Wiederherstellung kann Abonnenten zu Admins machen
• LatePoint mit über 100.000 Installationen: neue SQL-Lücke ohne Login
• Blocksy Companion: Kritische Lücke macht Fremde zu Dokan-Händlern