予約管理プラグイン「LatePoint」に、ワンタイムパスワード（OTP）の認証制限を回避できる新たな脆弱性が報告されました。
LatePointとは？
LatePointは、美容室、教室、コンサルティングなどのオンライン予約を管理するプラグインです。
予約枠、スタッフ、顧客情報、決済、通知などをまとめて管理でき、予約受付業務を効率化できます。
有効インストール数は100,000以上です。
今回の脆弱性と想定リスク
CVE-2026-110653は、OTPの認証失敗回数を記録する処理に問題があるものです。
通常は一定回数失敗すると認証を制限しますが、複数の認証リクエストを同時に送信することで、その制限を回避できる可能性があります。
攻撃者が対象顧客のメールアドレスまたは電話番号を知っている場合、6桁の認証コードを繰り返し試し、顧客アカウントにログインできるおそれがあります。
予約情報や顧客の個人情報に影響する可能性があり、CVSS 9.1と評価されています。
Wordfence
影響バージョンと対策
5.7.4以前が対象で、5.7.5で修正済みです。
以前通知した5.7.4までの脆弱性とは別の問題です。5.7.4まで更新していたサイトも、再度更新が必要です。
更新後は顧客ログイン、OTP認証、予約確認、予約変更、決済などを確認してください。不審な顧客アカウントへのアクセスがないかも点検しましょう。
開発元は10月16日の5.7.5でセキュリティ修正を実施したと公表しています。
WordPress.org
公式情報： WordPress.org — LatePoint 脆弱性情報： Wordfence — CVE-2026-110653
メタディスクリプション案： LatePoint 5.7.4以前にCVSS 9.1の認証回避脆弱性。ワンタイムパスワードの制限回避によるアカウント乗っ取りの危険性と対策を解説します。