CVE-2026-100163 Evasión de autenticación en Appointment Booking Plugin mediante create_wp_user_for_customer()

Qué es CVE-2026-100163

El plugin Appointment Booking Plugin – LatePoint para WordPress, hasta la versión 5.7.2, es vulnerable a evasión de autenticación en el helper OsCustomerHelper::create_wp_user_for_customer(), alcanzable desde el paso público process_step_customer(). Cuando está habilitada la opción de usar usuarios de WordPress como clientes, el helper recurre a username_exists() con el email del cliente y vincula el ID de un usuario de WordPress cuyo user_login coincide con ese email, permitiendo a atacantes autenticados con…

Productos y versiones afectadas

• latepoint Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress

  • hasta 5.7.2

Qué hacer

1. Verificá si usás Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 7.4 ALTA

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

The Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress plugin for WordPress is vulnerable to Authentication Bypass in versions up to, and including, 5.7.2 via the OsCustomerHelper::create_wp_user_for_customer() helper reached from the public process_step_customer() booking step. When the 'Use WordPress users as customers' option is enabled, the helper falls back from email_exists() to username_exists( $customer->email ), which matches any WordPress user whose user_login equals the victim customer's email even when that user's user_email is completely different, and links that WordPress user's ID into the victim's LatePoint customer row (only privileged roles are excluded; Subscriber is allowed). This makes it possible for authenticated attackers, with Subscriber-level access and above, to take over another customer's LatePoint account — accessing their bookings, service, agent, and calendar data, and having the victim customer's email overwritten with the attacker's on next login — by holding a Subscriber account whose user_login equals the victim's email and submitting an unauthenticated public booking step registration request.

Referencias

• www.wordfence.com/threat-intel/vulnerabilities/id/2a942d71-7172-4e02-9faa-3a2c1c9e7fbd?so…
• plugins.trac.wordpress.org/browser/latepoint/tags/5.7.2/lib/helpers/customer_helper.php#L…
• plugins.trac.wordpress.org/browser/latepoint/tags/5.7.2/lib/helpers/customer_helper.php#L…
• plugins.trac.wordpress.org/browser/latepoint/tags/5.7.2/lib/helpers/steps_helper.php#L2156
• plugins.trac.wordpress.org/browser/latepoint/tags/5.7.2/lib/helpers/steps_helper.php#L2146
• plugins.trac.wordpress.org/browser/latepoint/tags/5.7.2/latepoint.php#L1072
• plugins.trac.wordpress.org/browser/latepoint/tags/5.7.3/lib/helpers/customer_helper.php

Historial de la alerta

1. 14 OCT · 07:09VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.