Twee ernstige LatePoint-kwetsbaarheden bedreigen meer dan 100.000 WordPress-websites
Een ernstige LatePoint kwetsbaarheid kan WordPress-websites blootstellen aan SQL-injection en privilege-escalatie. Beveiligingsonderzoekers hebben twee afzonderlijke beveiligingsproblemen ontdekt, geregistreerd als CVE-2026-96662 en CVE-2026-104766. De kwetsbaarheden treffen verschillende versies van de populaire afsprakenplugin, die op meer dan 100.000 WordPress-websites wordt gebruikt.
De beveiligingsproblemen zijn geregistreerd als CVE-2026-96662 en CVE-2026-104766.
LatePoint wordt gebruikt door meer dan 100.000 WordPress-websites en biedt functionaliteit voor het beheren van afspraken, reserveringen, klanten en betalingen.
Beveiligingsonderzoekers van Wordfence hebben de kwetsbaarheden op 9 oktober 2026 openbaar gemaakt.
De problemen zijn opgelost in de inmiddels beschikbare beveiligingsupdates. Vservs adviseert alle LatePoint-gebruikers om direct versie 5.7.4 of nieuwer te installeren.
Wat is LatePoint?
LatePoint is een WordPress-plugin waarmee bedrijven online afspraken en reserveringen kunnen aanbieden.
De software wordt onder andere gebruikt door:
- zorgpraktijken en klinieken;
- consultants en zakelijke dienstverleners;
- kappers en schoonheidssalons;
- trainers en coaches;
- organisaties die afspraken en evenementen aanbieden.
LatePoint ondersteunt onder andere reserveringsformulieren, klantaccounts, betalingsverwerking en verschillende gebruikersrollen.
Omdat dergelijke websites regelmatig persoonsgegevens en afspraakgegevens verwerken, kunnen beveiligingsproblemen binnen de plugin aanzienlijke gevolgen hebben.
CVE-2026-96662: SQL-injection zonder authenticatie
De eerste kwetsbaarheid, CVE-2026-96662, betreft een SQL-injectionprobleem waarvoor geen bestaande WordPress-account noodzakelijk is.
De kwetsbaarheid bevindt zich in de verwerking van de parameter:
booking[service_id]Volgens Wordfence wordt deze parameter onvoldoende veilig verwerkt voordat de waarde onderdeel wordt van een databasequery.
Hierdoor kan een aanvaller onder bepaalde omstandigheden de werking van SQL-query’s beïnvloeden.
Een succesvolle aanval kan worden gebruikt om gevoelige informatie uit de WordPress-database te verkrijgen.
Welke versies zijn kwetsbaar?
- CVE: CVE-2026-96662
- Kwetsbaarheid: SQL Injection
- Getroffen versies: Tot en met 5.7.2
- Eerste gecorrigeerde versie: 5.7.3
- CVSS 3.1: 7,5 – High
- Authenticatie vereist: Nee
CVE-2026-104766: privilege-escalatie via gebruikersrollen
De tweede kwetsbaarheid heeft mogelijk nog ernstigere gevolgen voor WordPress-installaties met een specifieke LatePoint-configuratie.
CVE-2026-104766 maakt het mogelijk om onder bepaalde omstandigheden de standaard WordPress-gebruikersrol voor nieuwe LatePoint-klanten te wijzigen.
Het probleem ontstaat doordat de plugin bepaalde instellingen onvoldoende controleert voordat wijzigingen worden opgeslagen.
Een gebruiker met de LatePoint-bevoegdheid settings__edit kan hierdoor mogelijk de instelling default_wp_role_for_customer aanpassen.
Deze instelling bepaalt welke WordPress-rol wordt toegekend aan nieuwe klanten die via LatePoint worden geregistreerd.
Door deze waarde te wijzigen naar administrator kunnen nieuwe klantaccounts onder bepaalde omstandigheden volledige WordPress-beheerdersrechten verkrijgen.
Welke voorwaarden gelden voor misbruik?
Volgens Wordfence moet aan meerdere voorwaarden worden voldaan:
- Een kwetsbare LatePoint-versie is geïnstalleerd.
- Een LatePoint-agent of aangepaste gebruikersrol beschikt over de bevoegdheid settings__edit.
- Deze bevoegdheid is door een WordPress-beheerder toegekend.
- De aanvaller kan de relevante LatePoint-instelling aanpassen.
- Na de wijziging wordt via LatePoint een nieuw klantaccount geregistreerd.
De kwetsbaarheid maakt dus niet automatisch iedere bezoeker tot WordPress-beheerder.
Er is een bestaande LatePoint-account met specifieke bevoegdheden noodzakelijk.
Welke versies zijn kwetsbaar?
- CVE: CVE-2026-104766
- Kwetsbaarheid: Privilege Escalation
- Getroffen versies: Tot en met 5.7.3
- Gecorrigeerde versie: 5.7.4
- CVSS 3.1: 8,8 – High
- Authenticatie vereist: Ja, met specifieke LatePoint-bevoegdheden
Welke risico’s lopen WordPress-websites?
De twee kwetsbaarheden hebben verschillende technische gevolgen.
Bij SQL-injection bestaat het risico dat vertrouwelijke databasegegevens worden blootgesteld.
Dit kan onder andere betrekking hebben op:
- WordPress-gebruikersgegevens;
- klant- en afspraakgegevens;
- opgeslagen configuratiegegevens;
- gegevens van andere WordPress-plugins;
- informatie die toegankelijk is voor het gebruikte databaseaccount.
De privilege-escalatiekwetsbaarheid kan onder de beschreven voorwaarden leiden tot volledige WordPress-beheerdersrechten.
Een aanvaller met dergelijke rechten kan mogelijk plugins installeren, website-instellingen wijzigen en aanvullende schadelijke code toevoegen.
Worden de kwetsbaarheden actief misbruikt?
Op 12 oktober 2026 is geen betrouwbare bevestiging gevonden van actieve exploitatiecampagnes gericht op CVE-2026-96662 of CVE-2026-104766.
De technische kwetsbaarheden zijn echter bevestigd door Wordfence en er zijn beveiligingsupdates beschikbaar.
Vanwege de mogelijke gevolgen adviseert Vservs om de updates met hoge prioriteit uit te voeren.
Controleer LatePoint op mogelijke compromittering
Beheerders die kwetsbare versies hebben gebruikt, moeten onder andere de volgende onderdelen controleren:
- onbekende WordPress-beheerdersaccounts;
- nieuwe klantaccounts met onverwachte beheerdersrechten;
- wijzigingen aan de standaardgebruikersrol van LatePoint-klanten;
- gebruikers met de LatePoint-bevoegdheid settings__edit;
- verdachte verzoeken met afwijkende waarden voor booking[service_id];
- onverwachte databasefouten;
- afwijkende activiteiten in webserver- en WordPress-auditlogs;
- onverklaarbare wijzigingen aan plugins of website-instellingen.
Deze controles zijn algemene onderzoeksmaatregelen. Er zijn geen universele Indicators of Compromise bevestigd waarmee iedere exploitatie van deze kwetsbaarheden kan worden vastgesteld.
Wat moeten WordPress-beheerders doen?
- Controleer of LatePoint op de website is geïnstalleerd.
- Werk LatePoint direct bij naar versie 5.7.4 of nieuwer.
- Maak vooraf een actuele back-up van de website en database.
- Controleer welke gebruikers toegang hebben tot LatePoint-instellingen.
- Controleer of de standaard WordPress-rol voor nieuwe klanten correct is ingesteld.
- Onderzoek onbekende beheerdersaccounts en verdachte wijzigingen.
- Controleer na de update de werking van afspraken, reserveringen en betalingen.
Wanneer een update niet onmiddellijk mogelijk is, kan het tijdelijk uitschakelen van kwetsbare functionaliteit het aanvalsoppervlak beperken.
Een passende webapplicatiefirewall kan daarnaast aanvullende bescherming bieden tegen bepaalde SQL-injectionpogingen.
Deze maatregelen vervangen de beveiligingsupdate niet.
Managed WordPress Hosting bij Vservs
Websites die afspraken, klantgegevens en betalingen verwerken, vereisen zorgvuldig technisch beheer.
Met Managed WordPress Hosting van Vservs kunnen organisaties het technische onderhoud van hun WordPress-omgeving uitbesteden.
Vservs verzorgt binnen de afgesproken dienstverlening onder andere WordPress-updates, plugin- en themabeheer, beveiligingscontroles, monitoring en back-ups.
Voor websites met hogere eisen aan beveiliging en beschikbaarheid biedt Vservs daarnaast beheerde WordPress-omgevingen op een eigen VPS.
Conclusie
CVE-2026-96662 en CVE-2026-104766 zijn twee ernstige beveiligingskwetsbaarheden in LatePoint.
De problemen kunnen onder verschillende omstandigheden leiden tot SQL-injection en ongeautoriseerde verkrijging van WordPress-beheerdersrechten.
Vservs adviseert alle beheerders van LatePoint-websites om direct versie 5.7.4 of nieuwer te installeren en bestaande gebruikersrechten te controleren.