Im Terminbuchungs-Plugin LatePoint konnten Fremde ohne Anmeldung das Passwort eines Kunden neu setzen und dessen Konto übernehmen. Die US-Datenbank NVD bewertet die Sicherheitslücke mit 9,1 von 10 Punkten als kritisch. Betroffen sind alle Versionen bis 5.7.6, Version 5.7.7 vom 2. November schließt sie laut Quellcode.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Die NVD hat am 7. November die Sicherheitslücke CVE-2026-118066 veröffentlicht, die Wordfence als Vergabestelle mit CVSS 3.1: 9,1 bewertet.[1] Laut wordpress.org läuft LatePoint auf mehr als 100.000 aktiven Installationen, aktuell ist Version 5.7.8.[2] Es ist die vierte LatePoint-Meldung von Dr. Web seit dem 1. Oktober.
Das Wichtigste in Kürze
- Ein Angreifer braucht laut NVD kein Konto und keine Mitwirkung eines Besuchers: Er setzt das Passwort eines Kunden neu und sieht danach Buchungen, Bestellungen und persönliche Daten.
- Betroffen sind alle Versionen bis 5.7.6, der Quellcode von 5.7.7 (2. November) ändert die Ursache, aktuell ist 5.7.8 (3. November).
- Führt ein Betreiber WordPress-Nutzer als Kunden, geht laut NVD auch das verknüpfte WordPress-Konto verloren.
- Belege für Angriffe liegen am 7. November nicht vor, in CISAs Katalog ausgenutzter Schwachstellen steht die Lücke nicht.
Wie entsteht eine Kontoübernahme ohne Passwort?
Der Fehler steckt in einer Funktion, die Datenbankabfragen für alle Modelle des Plugins zusammensetzt. Laut NVD vergleicht sie Werte mit zwei festen Textfolgen für „leer“ und „nicht leer“ und fügt eine Übereinstimmung direkt in die Abfrage ein, statt sie als Wert zu übergeben.[1] Diese Folgen sind in der Datenbanksprache SQL Schlüsselwörter. Schickt ein Besucher so ein Wort als Eingabe mit, behandelt die Datenbank es als Befehl und nicht als Text.
Beim Zurücksetzen des Passworts sucht LatePoint das Konto über ein Merkmal, das nur der berechtigte Kunde kennen soll. Wird dort „ist nicht leer“ eingeschleust, passt die Abfrage auf jedes Konto mit einem solchen Merkmal, laut NVD zuerst auf den Kunden mit der niedrigsten Kennung. Dessen Passwort setzt der Angreifer neu. Auch die E-Mail-Adresse eines Kunden lässt sich laut NVD über einen weiteren öffentlichen Aufruf ermitteln, und das Zeitfenster für den Reset öffnet der Angreifer selbst.[1]
Bemerkenswert ist der Zeitablauf. Version 5.7.5 vom 16. Oktober härtete die Eingaben schon einmal, laut NVD schließt aber weder die Textbereinigung von WordPress noch diese Prüfung in 5.7.5 die Lücke, weil beide das Schlüsselwort unverändert durchlassen.[1] Der Quellcode von Version 5.7.7 ersetzt die Textfolgen durch eigene Markierungsobjekte, die ein Besucher nicht nachbilden kann. Das Änderungsprotokoll nennt dafür nur „Hardened the security of the plugin“ und dankt Wordfence.[2][3] Die genaue Zuordnung der Behebung zu 5.7.7 beruht auf dem Vergleich des Quellcodes von 5.7.6 und 5.7.7, eine Bestätigung von Wordfence oder vom Hersteller lag zum Redaktionsschluss nicht vor.
Am 7. November liefen 61,8 Prozent der Installationen auf der Reihe 5.7. Darin stecken betroffene Versionen (5.7.0 bis 5.7.6) und die behobenen. Auf Reihen vor 5.7 entfielen zusammen 31,7 Prozent, sie sind durchweg betroffen. Eine genaue Zahl betroffener Websites lässt sich aus der Statistik nicht ableiten.[2]
Warum hat LatePoint immer wieder Lücken am Kundenlogin?
Am 1. Oktober meldete Dr. Web eine Lücke zur Ausführung von Shortcodes, am 10. Oktober eine SQL-Lücke ohne Login und am 17. Oktober die Kontoübernahme über den Einmalcode. Alle setzen an öffentlichen Buchungsschritten und am Kundenbereich an, also dort, wo Besucher ohne Konto Eingaben senden dürfen.
Das Muster ist typisch für Plugins mit Kundenkonto: Jede Funktion, die ohne Anmeldung erreichbar sein muss, ist ein Eingang, und jede Eingabe dort muss die Datenbankschicht als bloßen Text behandeln. Bei der Lücke vom 7. November liegt der Fehler in dieser Schicht selbst. Eine Härtung an einzelnen Stellen wie in 5.7.5 reicht dann nicht. Ein ähnliches Problem mit Anmeldecodes betraf All In One Login und den Security Optimizer.
Der Stand: offengelegt (NVD, 7. November), Patch verfügbar (ab 2. November), Exploit-Code und Angriffe nicht belegt. Am selben Tag führte die NVD zudem CVE-2026-119152, eine Lücke mit Skripteinschleusung über die Kunden-E-Mail-Adresse (CVSS 3.1: 5,4, ebenfalls bis 5.7.6).[4]
Vom Update bis zum NVD-Eintrag
Auf welchen Versionsreihen die Installationen liefen
Orange: Reihen vor 5.7, durchweg betroffen (zusammen 31,7 %). Die Reihe 5.7 enthält betroffene Versionen (5.7.0 bis 5.7.6) und die behobenen 5.7.7 und 5.7.8. Die Statistik von wordpress.org zeigt Anteile je Versionsreihe, nicht je Einzelversion.
Ein Reset-Link schützt nur, wenn das Plugin jeden mitgeschickten Wert als Text behandelt. Bei LatePoint sitzt der Fehler in der Datenbankschicht, deshalb reichte die Härtung vom 16. Oktober nicht.
Michael Dobler, Herausgeber Dr. Web
Was sollten Betreiber jetzt tun?
- Aktualisieren: Spielen Sie LatePoint 5.7.8 ein, mindestens 5.7.7, und schalten Sie automatische Updates für das Plugin ein.
- Kundenkonten prüfen: Suchen Sie nach Kunden, deren Passwort oder E-Mail-Adresse sich ohne ihr Zutun geändert hat, und nach auffälligen Passwort-Resets seit Ende Oktober. Betroffene Kunden sollten ihr Passwort neu setzen.
- WordPress-Konten kontrollieren: Führen Sie WordPress-Nutzer als Kunden, prüfen Sie die Benutzerliste auf unbekannte Konten und geänderte Rollen.
- Übergangsweise abschalten: Lässt sich das Update nicht sofort einspielen, deaktivieren Sie den Kundenbereich oder das Plugin, bis die neue Version läuft.
Agenturen mit vielen Kundenseiten filtern ihre Update-Werkzeuge nach dem Plugin und allen Versionen bis 5.7.6. Buchungen enthalten Namen, E-Mail-Adressen und oft Telefonnummern, deshalb prüfen Betreiber bei Verdacht auf eine erfolgreiche Übernahme die Meldepflicht nach Art. 33 DSGVO, die 72 Stunden nach Bekanntwerden gilt. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen. Im WordPress-Hosting-Vergleich finden Betreiber Anbieter, die Updates und Überwachung übernehmen.
FAQ: Kritische Sicherheitslücke bei LatePoint
Ab welcher Version ist LatePoint gegen die Kontoübernahme geschützt?
Betroffen sind laut NVD alle Versionen bis 5.7.6. Der Quellcode von Version 5.7.7 vom 2. November 2026 behandelt die Leerwerte in Datenbankabfragen anders, aktuell ist 5.7.8 vom 3. November. Spielen Sie mindestens 5.7.7 ein, besser 5.7.8.
Braucht ein Angreifer ein Konto auf der Website?
Nein. Laut NVD genügt ein Besuch ohne Anmeldung. Ein Angreifer setzt das Passwort eines Kunden neu und sieht danach dessen Buchungen, Bestellungen und persönliche Daten.
Wird die Sicherheitslücke schon ausgenutzt?
Belege für Angriffe liegen am 7. November 2026 nicht vor, der Eintrag steht nicht im Katalog der CISA für ausgenutzte Schwachstellen. Weil der Patch seit dem 2. November erhältlich ist und der NVD-Eintrag öffentlich ist, sollten Betreiber nicht warten.
Betrifft die Lücke auch WordPress-Konten?
Ja, wenn die Option aktiv ist, WordPress-Nutzer als LatePoint-Kunden zu führen. Dann geht laut NVD mit dem Kundenkonto auch das verknüpfte WordPress-Konto mit Abonnenten- oder Kundenrolle verloren.
Quellen
4 Quellen anzeigenQuellen ausblenden
- NVDCVE-2026-118066, veröffentlicht am 7. November 2026, Vergabestelle Wordfence; Wordfence: Eintrag in der Wordfence Threat Intelligence (in der NVD referenziert); CISA: Known Exploited Vulnerabilities Catalog, abgeglichen am 7. November 2026
- wordpress.orgLatePoint, Änderungsprotokoll, aktive Installationen und Versionsstatistik, abgerufen am 7. November 2026
- WordPress-Plugin-VerzeichnisLatePoint 5.7.7, lib/models/model.php, verglichen mit Version 5.7.6
- NVDCVE-2026-119152, veröffentlicht am 7. November 2026, Vergabestelle Wordfence
Mehr Newshunger?
- LatePoint mit über 100.000 Installationen: Fremde konnten Kundenkonten übernehmen
- LatePoint mit über 100.000 Installationen: neue SQL-Lücke ohne Login
- Kritische LatePoint-Lücke: Buchungs-Plugin mit über 100.000 Installationen ohne Login angreifbar
- Kritische Sicherheitslücke bei All In One Login
- Security Optimizer mit über 1 Million Installationen: Zwei-Faktor-Codes ließen sich beliebig oft raten
