CVE-2026-100163 in Appointment Booking Plugin – LatePoint Plugin
Zusammenfassung
von VulDB • 14.10.2026
Das WordPress-Plugin „Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress“ ist in den Versionen bis einschließlich 5.7.2 anfällig für eine Authentication Bypass (Umgehung der Authentifizierung) über die Helper-Funktion `OsCustomerHelper::create_wp_user_for_customer()`, die vom öffentlichen Buchungsschritt `process_step_customer()` aufgerufen wird. Wenn die Option „WordPress-Benutzer als Kunden verwenden“ aktiviert ist, fällt der Helper von `email_exists()` auf `username_exists( $customer->email )` zurück, was mit jedem WordPress-Benutzer übereinstimmt, dessen `user_login` der E-Mail-Adresse des betroffenen Kunden entspricht, selbst wenn die `user_email` dieses Benutzers völlig anders ist. Dadurch wird die ID dieses WordPress-Benutzers in den LatePoint-Kundeneintrag des Opfers verknüpft (nur Rollen mit erhöhten Berechtigungen sind ausgenommen; Subscriber sind erlaubt). Dies ermöglicht es authentifizierten Angreifern mit Zugriffsrechten auf der Ebene von „Subscriber“ und höher, das LatePoint-Konto eines anderen Kunden zu übernehmen – einschließlich dem Zugriff auf dessen Buchungs-, Service-, Agentur- und Kalenderdaten sowie der Überschreibung der E-Mail-Adresse des Opfers durch die des Angreibers beim nächsten Login –, indem sie ein Subscriber-Account mit einem `user_login`, der der E-Mail-Adresse des Opfers entspricht, halten und eine nicht authentifizierte öffentliche Registrierungsanfrage für den Buchungsschritt absenden.
Once again VulDB remains the best source for vulnerability data.