Zwei schwerwiegende LatePoint-Sicherheitslücken bedrohen mehr als 100.000 WordPress-Websites

Eine schwerwiegende LatePoint Sicherheitslücke kann WordPress-Websites durch SQL-Injection und Privilege Escalation gefährden. Sicherheitsforscher haben zwei separate Schwachstellen in dem beliebten WordPress-Plugin für Online-Terminbuchungen identifiziert. Die Sicherheitslücken werden als CVE-2026-96662 und CVE-2026-104766 geführt.

LatePoint wird auf mehr als 100.000 WordPress-Websites eingesetzt und dient zur Verwaltung von Terminen, Reservierungen, Kunden und Online-Zahlungen. Beide Schwachstellen wurden durch Sicherheitsupdates behoben. Vservs empfiehlt, umgehend auf LatePoint 5.7.4 oder neuer zu aktualisieren.

Was ist die LatePoint Sicherheitslücke?

LatePoint ist ein WordPress-Plugin für Online-Terminbuchungen und Terminverwaltung. Es wird von Unternehmen und Organisationen eingesetzt, die ihren Kunden eine direkte Online-Terminvereinbarung ermöglichen.

Zu den typischen Einsatzbereichen gehören Arzt- und Gesundheitspraxen, Beratungsunternehmen, Friseursalons, Kosmetikstudios, Coaches und andere Dienstleistungsunternehmen.

LatePoint bietet unter anderem Buchungsformulare, Kundenkonten, Terminverwaltung, Zahlungsintegrationen und individuell konfigurierbare Benutzerberechtigungen.

Die beiden identifizierten Sicherheitslücken betreffen unterschiedliche Bereiche des Plugins:

• CVE-2026-96662: Unauthenticated SQL-Injection, CVSS 7,5 – High.
• CVE-2026-104766: Authenticated Privilege Escalation, CVSS 8,8 – High.

Obwohl beide Schwachstellen LatePoint betreffen, unterscheiden sich die Voraussetzungen für eine erfolgreiche Ausnutzung und die möglichen Auswirkungen deutlich.

CVE-2026-96662: SQL-Injection ohne Anmeldung

CVE-2026-96662 ist eine SQL-Injection-Schwachstelle, die ohne ein bestehendes WordPress-Benutzerkonto ausgenutzt werden kann.

Die Schwachstelle betrifft die Verarbeitung des folgenden Buchungsparameters:

booking[service_id]

Nach den veröffentlichten technischen Informationen wird dieser Parameter nicht ausreichend sicher verarbeitet, bevor sein Wert in eine SQL-Abfrage übernommen wird.

Die betroffene Datenbankabfrage verwendet zudem keine ausreichende Parametrisierung, um sicherzustellen, dass vom Angreifer kontrollierte Eingaben ausschließlich als Daten behandelt werden.

Dadurch kann ein nicht authentifizierter Angreifer unter bestimmten Umständen die erzeugte SQL-Abfrage manipulieren und möglicherweise vertrauliche Informationen aus der Datenbank auslesen.

Welche LatePoint-Versionen sind von CVE-2026-96662 betroffen?

• CVE: CVE-2026-96662
• Schwachstelle: SQL-Injection
• CWE: CWE-89
• Betroffene Versionen: LatePoint 5.7.2 und älter
• Erste korrigierte Version: LatePoint 5.7.3
• CVSS 3.1: 7,5 – High
• Authentifizierung erforderlich: Nein
• Benutzerinteraktion erforderlich: Nein

CVE-2026-104766: Privilege Escalation über Benutzerberechtigungen

Die zweite Schwachstelle, CVE-2026-104766, betrifft die Verarbeitung bestimmter LatePoint-Einstellungen und Benutzerberechtigungen.

LatePoint unterstützt individuell konfigurierbare Berechtigungen, mit denen festgelegt werden kann, welche Funktionen Agenten und andere Benutzer verwenden dürfen.

Unter bestimmten Bedingungen kann ein Benutzer mit der LatePoint-Berechtigung settings__edit die Einstellung verändern, die festlegt, welche WordPress-Rolle neu registrierte LatePoint-Kunden erhalten.

Die betroffene Einstellung lautet:

default_wp_role_for_customer

Wird diese Einstellung auf administrator geändert, können anschließend registrierte Kundenkonten unter den beschriebenen Voraussetzungen WordPress-Administratorrechte erhalten.

Dies kann zu einer vollständigen administrativen Übernahme der betroffenen WordPress-Website führen.

Welche Voraussetzungen gelten für die Privilege Escalation?

Im Gegensatz zur SQL-Injection kann CVE-2026-104766 nicht von beliebigen nicht authentifizierten Besuchern ausgenutzt werden.

Für den dokumentierten Angriff müssen mehrere Bedingungen erfüllt sein:

• Die Website verwendet eine verwundbare LatePoint-Version.
• Der Angreifer verfügt über ein bestehendes LatePoint-Benutzerkonto.
• Diesem Konto wurde die Berechtigung settings__edit zugewiesen.
• Der Angreifer kann die standardmäßige WordPress-Rolle für neu registrierte LatePoint-Kunden verändern.
• Anschließend wird über die betroffene Funktion ein neues Kundenkonto registriert.

Die Schwachstelle setzt daher ein bestehendes Konto mit bestimmten LatePoint-Berechtigungen voraus.

Sie bedeutet nicht, dass jeder anonyme Besucher unmittelbar WordPress-Administratorrechte erhalten kann.

Welche LatePoint-Versionen sind von CVE-2026-104766 betroffen?

• CVE: CVE-2026-104766
• Schwachstelle: Privilege Escalation
• Betroffene Versionen: LatePoint 5.7.3 und älter
• Erste korrigierte Version: LatePoint 5.7.4
• CVSS 3.1: 8,8 – High
• Authentifizierung erforderlich: Ja, mit bestimmten LatePoint-Berechtigungen
• Mögliche Auswirkungen: WordPress-Administratorrechte

Welche Auswirkungen können die Schwachstellen haben?

Die beiden Sicherheitslücken verursachen unterschiedliche Risiken.

Eine erfolgreiche Ausnutzung von CVE-2026-96662 kann es einem Angreifer ermöglichen, Informationen aus der WordPress-Datenbank auszulesen.

Abhängig von der Website-Konfiguration und den Datenbankberechtigungen können folgende Informationen betroffen sein:

• WordPress-Benutzerdaten;
• Kunden- und Termininformationen;
• Buchungsdetails;
• Website-Konfigurationsdaten;
• Informationen anderer WordPress-Plugins;
• weitere Daten, die über die betroffenen Datenbankabfragen erreichbar sind.

CVE-2026-104766 kann dagegen unter den dokumentierten Voraussetzungen zur Erlangung von WordPress-Administratorrechten führen.

Mit solchen Berechtigungen könnte ein Angreifer unter anderem:

• WordPress-Einstellungen verändern;
• Plugins installieren oder modifizieren;
• weitere Administrator-Konten anlegen;
• Website-Inhalte manipulieren;
• auf Informationen zugreifen, die Administratoren zur Verfügung stehen;
• schädlichen Code installieren oder dauerhaften Zugriff einrichten.

Die tatsächlichen Auswirkungen hängen von der betroffenen Website und den verfügbaren Berechtigungen ab.

Mehr als 100.000 WordPress-Installationen verwenden LatePoint

LatePoint hat laut offizieller WordPress Plugin Directory mehr als 100.000 aktive Installationen.

Das Plugin ist besonders für Organisationen relevant, die auf Online-Terminbuchungen und Kundenverwaltung angewiesen sind.

Solche Websites können personenbezogene Daten, Terminhistorien und weitere geschäftliche Informationen verarbeiten.

Die hohe Anzahl aktiver Installationen bedeutet jedoch nicht, dass alle Websites über beide Schwachstellen ausgenutzt werden können.

Die SQL-Injection ist ohne Authentifizierung erreichbar, während die Privilege-Escalation-Schwachstelle ein bestehendes Konto mit bestimmten Berechtigungen erfordert.

Werden die LatePoint-Schwachstellen aktiv ausgenutzt?

Zum 12. Oktober 2026 hat Vservs keine zuverlässige öffentliche Bestätigung gefunden, dass CVE-2026-96662 oder CVE-2026-104766 aktiv in freier Wildbahn ausgenutzt werden.

Beide Schwachstellen wurden von Sicherheitsforschern dokumentiert und korrigierte Versionen sind verfügbar.

Das Fehlen bestätigter aktiver Angriffe bedeutet nicht, dass verwundbare Websites sicher sind.

Vservs empfiehlt deshalb, die verfügbaren Sicherheitsupdates ohne unnötige Verzögerung zu installieren.

LatePoint-Websites auf mögliche Kompromittierung prüfen

Administratoren von Websites, auf denen zuvor verwundbare LatePoint-Versionen eingesetzt wurden, sollten vorhandene Anwendungs-, Webserver- und WordPress-Auditlogs überprüfen.

Achten Sie insbesondere auf:

• unbekannte WordPress-Administrator-Konten;
• neue LatePoint-Kundenkonten mit unerwarteten Administratorrechten;
• ungewöhnliche Änderungen an der standardmäßigen WordPress-Rolle für neue Kunden;
• Benutzer oder Agenten mit der Berechtigung settings__edit;
• verdächtige Requests mit ungewöhnlichen Werten für booking[service_id];
• unerwartete SQL-Fehler oder Datenbankwarnungen;
• ungewöhnliche Buchungs- oder Registrierungsaktivitäten;
• unerwartete Änderungen an Plugins, Themes oder Website-Einstellungen;
• Administrator-Anmeldungen von unbekannten IP-Adressen.

Diese Kontrollen sind allgemeine Untersuchungsmaßnahmen und keine bestätigten, schwachstellenspezifischen Indicators of Compromise.

Ein auffälliger Request oder ein unerwarteter Datenbankfehler allein beweist keine erfolgreiche Ausnutzung.

LatePoint sicher aktualisieren

Vservs empfiehlt folgende Maßnahmen:

1. Prüfen Sie, ob LatePoint auf der WordPress-Website installiert ist.
2. Kontrollieren Sie die aktuell installierte Plugin-Version.
3. Erstellen oder überprüfen Sie ein aktuelles Backup von Website und Datenbank.
4. Aktualisieren Sie LatePoint auf Version 5.7.4 oder neuer.
5. Prüfen Sie, ob die korrigierte Version tatsächlich aktiv ist.
6. Kontrollieren Sie, welche Benutzer Zugriff auf die LatePoint-Einstellungen haben.
7. Überprüfen Sie die standardmäßige WordPress-Rolle für neu registrierte Kunden.
8. Kontrollieren Sie vorhandene WordPress-Administrator-Konten.
9. Testen Sie nach dem Update die Terminbuchung, Kundenregistrierung und Zahlungsfunktionen.

Administratoren sollten außerdem installierte LatePoint-Add-ons überprüfen und sicherstellen, dass alle zugehörigen Komponenten mit der aktualisierten Plugin-Version kompatibel sind.

Temporäre Maßnahmen, wenn ein Update nicht sofort möglich ist

Wenn die Sicherheitsaktualisierung nicht sofort installiert werden kann, sollte der Zugriff auf verwundbare Funktionen soweit wie möglich eingeschränkt werden.

Für CVE-2026-104766 sollte die Berechtigung settings__edit überprüft und ausschließlich vertrauenswürdigen Administratoren zugewiesen werden.

Für CVE-2026-96662 kann eine korrekt konfigurierte Web Application Firewall zusätzlichen Schutz gegen bestimmte SQL-Injection-Versuche bieten.

Wo betrieblich möglich, kann das vorübergehende Einschränken der betroffenen öffentlichen Buchungsfunktionen die Angriffsfläche weiter reduzieren.

Diese Maßnahmen sind lediglich temporäre Risikoreduzierungen und ersetzen nicht die Installation der offiziellen Sicherheitsupdates.

Was tun, wenn eine WordPress-Website bereits kompromittiert wurde?

Wenn Hinweise darauf vorliegen, dass eine der Schwachstellen erfolgreich ausgenutzt wurde, reicht ein Update von LatePoint allein möglicherweise nicht aus.

Administratoren sollten untersuchen, ob vertrauliche Informationen abgerufen oder unautorisierte Änderungen vorgenommen wurden.

Die Untersuchung sollte mindestens folgende Bereiche umfassen:

• WordPress-Administrator-Konten und Benutzerrollen;
• LatePoint-Kundenkonten und Berechtigungen;
• Datenbank- und Anwendungslogs;
• installierte Plugins und Themes;
• WordPress-Core-Dateien;
• unerwartete Änderungen an der Website-Konfiguration;
• API-Keys, Datenbank-Zugangsdaten und andere Application Secrets;
• verfügbare Backups und deren Integrität.

Wenn Anzeichen für kompromittierte privilegierte Konten oder Zugangsdaten vorliegen, sollten relevante Passwörter und andere Secrets aus einer vertrauenswürdigen Umgebung erneuert werden.

Wenn personenbezogene Daten möglicherweise betroffen sind, muss außerdem geprüft werden, ob zusätzliche Maßnahmen nach der DSGVO oder anderen geltenden Datenschutzvorschriften erforderlich sind.

Managed WordPress Hosting bei Vservs

WordPress-Websites, die Termine, Kundendaten und Online-Zahlungen verarbeiten, benötigen sorgfältiges technisches Management.

Sicherheitsupdates müssen zeitnah installiert werden, ohne die Funktionalität von Buchungsformularen, Kundenkonten und Zahlungsintegrationen unnötig zu beeinträchtigen.

Mit Vservs Managed WordPress Hosting können Unternehmen und Organisationen das technische Management und die Sicherheitswartung ihrer WordPress-Umgebung auslagern.

Abhängig vom gewählten Service übernimmt Vservs unter anderem WordPress-Core-, Plugin- und Theme-Updates, Security Hardening, Monitoring, Malwarekontrollen, Backups und SSL-Management.

Für geschäftskritische Websites und WooCommerce-Shops bietet Vservs außerdem Managed-WordPress-Umgebungen mit eigenen VPS-Ressourcen und erweitertem technischem Management.

Zusammenfassung

• Software: LatePoint – Appointment Booking Plugin
• Aktive Installationen: mehr als 100.000
• CVE-2026-96662: SQL-Injection ohne Authentifizierung
• CVSS CVE-2026-96662: 7,5 – High
• Betroffene Versionen: LatePoint 5.7.2 und älter
• Erste korrigierte Version: LatePoint 5.7.3
• CVE-2026-104766: Authenticated Privilege Escalation
• CVSS CVE-2026-104766: 8,8 – High
• Betroffene Versionen: LatePoint 5.7.3 und älter
• Erste korrigierte Version: LatePoint 5.7.4
• Empfohlene Version: LatePoint 5.7.