LatePoint en WordPress: fallo crítico de autenticación hasta 5.7.4

Qué es y a quién afectaEl plugin Appointment Booking Plugin – LatePoint | Calendar & Scheduling para WordPress, usado para gestionar reservas y ci...

Qué es y a quién afecta

El plugin Appointment Booking Plugin – LatePoint | Calendar & Scheduling para WordPress, usado para gestionar reservas y citas, arrastra una vulnerabilidad identificada como CVE-2026-110653. Según la descripción publicada en la National Vulnerability Database (NVD) del NIST, el fallo afecta a todas las versiones hasta la 5.7.4, ambas incluidas, y se clasifica como bypass de autenticación por condición de carrera (CWE-287).

La gravedad es CVSS 3.1 de 9.1, crítica (vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N). Es decir, se puede atacar de forma remota, sin credenciales y sin interacción de la víctima. Afecta a cualquier instalación de WordPress con LatePoint activo: desde una clínica en Lleida que gestiona citas hasta un comercio online en Barcelona que ofrece servicios con reserva. Si el plugin está instalado y no se ha actualizado, el riesgo es real.

Por qué es urgente

El problema está en el contador de intentos de verificación del código OTP. La función verifyOTP incrementa el contador con un valor en memoria obsoleto, sin una condición que limite la escritura a menos de 10 intentos y sin bloqueo de fila en la base de datos. Eso abre una ventana de tipo TOCTOU: varias peticiones concurrentes al endpoint auth__verify_otp pueden superar el límite de 10 intentos y probar el código de 6 dígitos hasta acertarlo.

El atacante solo necesita conocer el correo electrónico o el teléfono registrado de un cliente. Además, el nonce del endpoint no protege, porque lo emiten los propios endpoints públicos request_otp y resend_otp. El resultado: acceso completo a la cuenta del cliente, a sus reservas y a sus datos personales, con las obligaciones de protección de datos que eso implica bajo el RGPD y la LOPDGDD.

Conviene precisar un dato: este CVE no consta en el catálogo KEV de CISA, por lo que no hay constancia pública de explotación activa. Eso no lo hace menos grave: la facilidad del ataque y la exposición de datos personales justifican tratarlo con prioridad.

Qué hacer hoy

Comprobar si se usa LatePoint y en qué versión. Revisad el listado de plugins del WordPress. Si la versión es 5.7.4 o anterior, estáis expuestos.
Aplicar la actualización o mitigación que indique el aviso del fabricante. El material de referencia apunta a cambios en la rama 5.7.5, pero no confirma oficialmente qué versión corrige el fallo: seguid siempre el aviso del desarrollador y no os quedéis en una versión intermedia sin verificar.
Revisar indicios de intrusión. Buscad picos de peticiones al endpoint de verificación OTP, accesos de clientes desde ubicaciones extrañas y cambios en reservas o datos de cuenta que nadie haya autorizado.
Reducir lo expuesto a internet. Si el plugin no es imprescindible, desactivadlo hasta tener la actualización. Limitad el acceso al panel de administración por IP o mediante VPN y revisad qué otros plugins y temas añaden endpoints públicos.

Cómo puede ayudar un equipo de ciberseguridad como el de ALMC

En ALMC trabajamos con pymes, comercios online y equipos de IT pequeños que no pueden dedicar a esto un departamento entero. Empezamos por una auditoría de seguridad y pentesting para saber qué hay realmente expuesto, y seguimos con el hardening de servidores y la monitorización y respuesta a incidentes para detectar comportamientos anómalos antes de que se conviertan en una brecha.

En el día a día, nos ocupamos del mantenimiento y actualización de WordPress, PrestaShop y Joomla, con especial atención a los parches de seguridad de plugins como LatePoint. Y si la web ya ha sido hackeada, nos encargamos de la reparación, la limpieza y la vuelta a un estado seguro. La clave con este tipo de fallos no es solo parchear: es saber qué tenéis instalado, en qué versión y qué datos personales quedan expuestos si algo falla.

Relacionado

¿Está tu empresa expuesta a fallos como este?

En ALMC revisamos qué versiones tienes publicadas, aplicamos los parches y endurecemos tus servidores y tu web. Descubre nuestros servicios de ciberseguridad o contáctanos para una revisión.

Resultados sin salir de la página.