Alerta CRÍTICA: Se ha publicado la CVE-2026-110653, una vulnerabilidad de omisión de autenticación mediante condición de carrera en el plugin Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress, que afecta a todas las versiones hasta la 5.7.4 inclusive. Un atacante no autenticado que conozca el correo electrónico o teléfono de un cliente registrado puede eludir el límite de 10 intentos de verificación OTP, realizar fuerza bruta sobre el código de 6 dígitos y autenticarse como ese cliente, accediendo a sus citas y datos personales. La puntuación CVSS es de 9.1 (CRÍTICA) y se recomienda actualizar a la versión 5.7.5 o posterior de inmediato.
Resumen ejecutivo
| CVE | CVE-2026-110653 |
|---|---|
| Fabricante | LatePoint |
| Producto | Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress |
| Fecha de publicación | 17 de octubre de 2026 |
| Severidad | CRÍTICA |
| Puntuación CVSS | 9.1 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N) |
| Prioridad RyzerBot | 205 (publicación reciente, criticidad y relevancia) |
| Acción recomendada | Revisar el aviso oficial del fabricante y aplicar la actualización o mitigación publicada. |
Qué es la vulnerabilidad
La CVE-2026-110653 es una vulnerabilidad de omisión de autenticación mediante condición de carrera (también conocida como TOCTOU, Time-of-Check to Time-of-Use) en el plugin Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress, en todas las versiones hasta la 5.7.4 inclusive.
El fallo se localiza en la función verifyOTP, concretamente en el mecanismo que controla el contador de intentos de verificación del código OTP (One-Time Password). El plugin utiliza una operación de lectura-modificación-escritura no atómica sobre dicho contador: el valor se lee en memoria, se incrementa y posteriormente se escribe de vuelta en la base de datos. Sin embargo, esta operación carece de dos salvaguardas críticas:
- No existe una cláusula condicional
WHERE attempts < 10en la sentenciaUPDATEque actualice el contador. - No se emplea un bloqueo de fila del tipo
SELECT ... FOR UPDATEque impida que múltiples peticiones concurrentes lean el mismo valor obsoleto.
Esta falta de atomicidad abre una ventana de tiempo (TOCTOU) durante la cual un atacante puede enviar múltiples solicitudes simultáneas al endpoint auth__verify_otp, todas ellas leyendo el contador de intentos antes de que se haya incrementado. De esta forma, es posible superar el límite de 10 intentos establecido y realizar un ataque de fuerza bruta sobre el código OTP de 6 dígitos.
Es importante señalar que el plugin incorpora una verificación nonce en el endpoint (otp_verify_otp_nonce), pero esta no mitiga la vulnerabilidad. El nonce se emite públicamente a través de los endpoints no autenticados request_otp y resend_otp, por lo que cualquier atacante no autenticado puede obtenerlo fácilmente antes de lanzar el ataque.
La vulnerabilidad está clasificada según la taxonomía CWE como CWE-287: Improper Authentication (autenticación incorrecta), lo que refleja que el fallo permite a un atacante autenticarse sin credenciales válidas.
El vector CVSS asociado es CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N, lo que indica que el ataque se puede realizar de forma remota (AV:N), con baja complejidad (AC:L), sin necesidad de privilegios previos (PR:N) ni interacción del usuario (UI:N). El impacto sobre la confidencialidad e integridad es alto (C:H/I:H), mientras que la disponibilidad no se ve afectada (A:N).
La corrección se ha publicado en la versión 5.7.5 del plugin, según las referencias del aviso. Se recomienda encarecidamente actualizar a esta versión o posterior para eliminar la ventana de explotación.
Productos y versiones vulnerables
La vulnerabilidad CVE-2026-110653 afecta al plugin Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress del proveedor LatePoint. Según los datos publicados por CVE.org y NVD, todas las versiones del plugin hasta la 5.7.4 inclusive están afectadas.
La versión 5.7.5 aparece referenciada en los enlaces de las fuentes consultadas como la versión corregida, aunque el contexto no incluye una confirmación explícita del fabricante sobre el contenido del parche. Se recomienda encarecidamente actualizar a la versión más reciente disponible y revisar el aviso oficial del proveedor.
| Producto | Proveedor | Versiones afectadas | Versión corregida (referenciada) |
|---|---|---|---|
| Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress | LatePoint | Todas hasta 5.7.4 inclusive | 5.7.5 (referenciada en las fuentes) |
No se han publicado versiones adicionales afectadas ni rangos de versiones alternativos en las fuentes consultadas.
Impacto y riesgo
Esta vulnerabilidad ha sido clasificada con una puntuación CVSS v3.1 de 9.1 (CRITICAL), con vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. Esto implica que un atacante remoto puede explotar la vulnerabilidad sin necesidad de autenticación previa ni interacción del usuario, con una complejidad de ataque baja.
El impacto se desglosa de la siguiente manera:
- Confidencialidad (Alta): un atacante que consiga autenticarse como un cliente de LatePoint podría acceder a su cuenta, reservas, datos personales y otra información sensible almacenada en el sistema.
- Integridad (Alta): el atacante podría modificar datos de la cuenta, realizar cambios en reservas o alterar información del cliente.
- Disponibilidad (No afectada): el vector CVSS no indica impacto sobre la disponibilidad del servicio.
La causa raíz es una condición de carrera (race condition) de tipo TOCTOU (Time-of-Check to Time-of-Use) en la función verifyOTP. El contador de intentos de verificación OTP se incrementa mediante una operación de lectura-modificación-escritura no atómica, sin una condición WHERE attempts < 10 en la consulta UPDATE ni un bloqueo de fila SELECT ... FOR UPDATE. Esto permite que múltiples solicitudes concurrentes eviten el límite de 10 intentos y realicen un ataque de fuerza bruta sobre el código OTP de 6 dígitos.
El riesgo es especialmente elevado porque el atacante solo necesita conocer la dirección de correo electrónico o el número de teléfono registrado de la víctima. Además, el nonce otp_verify_otp_nonce no mitiga el problema, ya que se emite públicamente a través de los endpoints no autenticados request_otp y resend_otp.
Estado de explotación conocida
Las fuentes consultadas (NVD y CVE.org) no publican información explícita sobre explotación activa en entornos reales para esta vulnerabilidad. No se ha confirmado ni documentado ningún caso de explotación pública en el contexto proporcionado.
Sin embargo, la naturaleza de la vulnerabilidad —un fallo de autenticación explotable de forma remota y sin autenticación— la convierte en un objetivo atractivo para atacantes. La puntuación de criticidad (9.1) y la prioridad asignada por RyzerBot (205) reflejan la gravedad potencial del fallo, independientemente de que no se haya confirmado explotación activa.
Se recomienda tratar esta vulnerabilidad como de alto riesgo y aplicar las actualizaciones disponibles de inmediato, sin esperar a que se publique prueba de concepto o se observe actividad maliciosa.
Indicadores de compromiso (IOC)
No se han extraído indicadores de compromiso (IOC) estructurados de las fuentes consultadas. El campo enrichment.ioc está vacío y no se dispone de direcciones IP, dominios, hashes de archivos u otros indicadores asociados a esta vulnerabilidad.
Ante la ausencia de IOC publicados, no deben inventarse indicadores. La detección de posibles compromisos debe centrarse en la monitorización de los endpoints de autenticación OTP (auth__verify_otp, request_otp y resend_otp), prestando especial atención a picos anómalos de solicitudes concurrentes o patrones de fuerza bruta sobre códigos OTP.
Cómo comprobar si estás afectado
Para determinar si tu instalación de WordPress es vulnerable a CVE-2026-110653, debes verificar la versión del plugin Appointment Booking Plugin – LatePoint | Calendar & Scheduling for WordPress que tienes activa. Según los datos publicados por NVD y CVE.org, todas las versiones hasta la 5.7.4 inclusive están afectadas por la vulnerabilidad de autenticación.
El método más fiable es revisar la versión instalada directamente desde el panel de administración de WordPress:
- Accede a Plugins → Plugins instalados en el menú lateral de wp-admin.
- Localiza la entrada correspondiente a LatePoint.
- Comprueba el número de versión que se muestra en la columna «Versión» o en la ficha del plugin.
Si la versión mostrada es 5.7.4 o inferior, tu sitio está dentro del rango afectado. También puedes revisar el archivo readme.txt del plugin (normalmente en /wp-content/plugins/latepoint/readme.txt) o el encabezado del archivo principal del plugin para confirmar la versión exacta.
Es importante tener en cuenta que la vulnerabilidad no requiere autenticación previa para ser explotada. El atacante solo necesita conocer el correo electrónico o el número de teléfono registrado de un cliente objetivo. Por tanto, aunque no hayas observado actividad sospechosa, es recomendable asumir que el sitio podría estar comprometido si se cumplen las condiciones de versión.
Nota: No se han publicado indicadores de compromiso (IOC) estructurados en las fuentes consultadas. La ausencia de IOC no debe interpretarse como una garantía de que el sitio no ha sido atacado.
Mitigación y actualización
La acción principal recomendada por las fuentes oficiales es revisar el aviso del fabricante y aplicar la actualización o mitigación publicada. Según las referencias de NVD, el fabricante ha publicado la versión 5.7.5 del plugin, que se menciona en el repositorio oficial de WordPress (https://plugins.trac.wordpress.org/browser/latepoint/tags/5.7.5/lib/helpers/otp_helper.php). Esta versión parece ser la que corrige el problema, aunque las fuentes consultadas no detallan explícitamente el contenido del parche.
Mientras tanto, y si no puedes actualizar de inmediato, considera las siguientes medidas temporales:
- Limitar el acceso al endpoint vulnerable: Si tu infraestructura lo permite, restringe el acceso a
auth__verify_otpmediante reglas de firewall de aplicación web (WAF) o reglas a nivel de servidor. - Monitorizar los intentos de autenticación: Revisa los registros del servidor para detectar picos anómalos de peticiones al endpoint de verificación OTP.
- Deshabilitar temporalmente el plugin: Si el plugin no es imprescindible para la operación del negocio, desactivarlo hasta aplicar la actualización elimina por completo la superficie de ataque.
Es fundamental que cualquier mitigación temporal se considere únicamente como un puente hasta la aplicación de la versión corregida. Las mitigaciones no eliminan la vulnerabilidad subyacente y podrían no ser suficientes frente a variantes de explotación.
Checklist para administradores
Utiliza esta lista para verificar que has cubierto todos los aspectos necesarios para proteger tu instalación frente a CVE-2026-110653:
- ☐ He identificado la versión exacta del plugin LatePoint instalado en mi WordPress.
- ☐ He confirmado si mi versión está dentro del rango afectado (≤ 5.7.4).
- ☐ He revisado el aviso oficial del fabricante y las referencias de NVD/CVE.org.
- ☐ He actualizado el plugin a la versión 5.7.5 o superior si está disponible.
- ☐ He verificado que no existen cuentas de cliente modificadas o creadas recientemente sin autorización.
- ☐ He revisado los registros de acceso al endpoint
auth__verify_otpen busca de patrones anómalos. - ☐ He comprobado que no hay sesiones de usuario activas sospechosas en el panel de administración.
- ☐ He informado a los clientes potencialmente afectados si se detecta actividad comprometedora.
- ☐ He programado una revisión periódica de las actualizaciones de seguridad del plugin.
Preguntas frecuentes
¿Qué es CVE-2026-110653?
Es una vulnerabilidad crítica de autenticación mediante condición de carrera (race condition) en el plugin LatePoint para WordPress. Permite a un atacante no autenticado, que conozca el correo o teléfono de un cliente, eludir el límite de 10 intentos de verificación OTP y forzar el código de 6 dígitos para acceder a la cuenta de la víctima.
¿Qué versión de LatePoint corrige la vulnerabilidad?
Las fuentes consultadas indican que la versión 5.7.5 está disponible en el repositorio oficial de WordPress y parece ser la que aborda el problema. Sin embargo, no se ha publicado una confirmación explícita del contenido del parche en las referencias analizadas.
¿La vulnerabilidad afecta a todos los sitios con LatePoint?
Sí, todas las versiones hasta la 5.7.4 inclusive están afectadas, independientemente de la configuración. La explotación requiere que el atacante conozca el correo electrónico o el número de teléfono de un cliente registrado, pero no requiere credenciales previas.
¿El nonce de seguridad mitiga el riesgo?
No. El nonce otp_verify_otp_nonce se genera y se expone públicamente en los endpoints request_otp y resend_otp, que no requieren autenticación. Por tanto, un atacante puede obtenerlo fácilmente antes de lanzar el ataque de fuerza bruta.
¿Qué datos puede comprometer un atacante?
Si la explotación tiene éxito, el atacante obtiene acceso completo a la cuenta del cliente objetivo, incluyendo sus reservas, datos personales y cualquier otra información gestionada por el plugin LatePoint.
¿Debo notificar a mis clientes si mi sitio es vulnerable?
Si tienes indicios de que la vulnerabilidad ha sido explotada, sí. La normativa de protección de datos (como el RGPD en Europa) puede obligarte a notificar una brecha de seguridad a las autoridades y a los afectados. Incluso sin evidencia de explotación, es recomendable informar a los clientes sobre el riesgo y las medidas tomadas.
Fuentes oficiales
Las siguientes referencias han sido publicadas por las fuentes oficiales consultadas para esta vulnerabilidad:
- NVD – Detalle de CVE-2026-110653
- Wordfence Threat Intelligence – CVE-2026-110653
- Código fuente vulnerable – auth_controller.php (línea 14)
- Código fuente vulnerable – auth_controller.php (línea 30)
- Código fuente vulnerable – otp_helper.php (línea 185)
- Código fuente vulnerable – otp_helper.php (línea 228)
- Código fuente vulnerable – model.php (línea 773)
- Versión 5.7.5 – otp_helper.php (posible corrección)