WordPress の LatePoint で OTP 試行制限を競合で突破され顧客アカウント乗っ取り（CVSS 9.1）

Critical（CVSS 9.1）に分類されるLatePoint LatePoint（WordPress の予約プラグイン）5.7.4 以下の脆弱性です。**WordPress の予約プラグイン LatePoint のワンタイムパスワード（OTP）ログインで、試行回数の上限を同時要求で突破され、顧客アカウントに入られる欠陥がある。** NVD に載った Wordfence（CNA）の記述によれば、対象は **5.7.4 以下の全ての版**。`verifyOTP` は試行回数を古い値のまま読み書きしており、更新に `attempts < 10` の条件も行ロックも無い。このため同時に大量の要求を送ると10回の上限が効かず、6桁の OTP を総当たりできる。 **狙えるのは LatePoint の顧客アカウント。** 攻撃者は相手の登録メールアドレスか電話番号を知っている必要があり、成功すると顧客アカウント、予約、個人情報に全面的にアクセスできる。エンドポイントの nonce は未認証の `request_otp` / `resend_otp` が配っているので防御にならない。CVSS 3.1 は **9.1 Critical**（Wordfence の評価・可用性への影響なし）。NVD は2026年10月17日に公開し、分析状況は Received。WordPress.org の掲載では有効インストール数は10万以上。 悪用の報告は確認できておらず、CISA KEV にも収載されていない。

**LatePoint を 5.7.5 以降へ上げる。** WordPress.org の変更履歴では、5.7.5（2026年10月16日）に WPScan と Wordfence への謝辞付きで「Addressed security bugs」が入っている。5.7.5 の `otp_helper.php` では、試行回数の加算が上限付きの加算（`increment_attempts_within_limit`）に置き換わっており、5.7.4 の「読んだ値に1を足して書き戻す」処理は無くなっている。 **影響を受けるかの確認**は、（1）LatePoint が 5.7.4 以下か、（2）顧客ログインに OTP を使う設定か、の2点。 **更新までの間**は、WAF やリバースプロキシで OTP 確認の AJAX 要求（`auth__verify_otp`）に送信元ごとの回数制限をかけると、総当たりの速度を落とせる（一般的な緩和策で、開発元が示したものではない）。 **更新後の確認。** 公開していた期間に、身に覚えのない顧客ログインや予約の変更・取り消しが無いかを確かめる。 **完了条件**は、LatePoint が 5.7.5 以上であること。

LatePoint LatePoint（WordPress の予約プラグイン）5.7.4 以下 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-110653）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。