WPO365 LOGIN: Broken Access Control im WordPress-Plugin
Zusammenfassung
Das WordPress-Plugin WPO365 LOGIN, das Single-Sign-on und Microsoft-365-Integration über Microsoft Entra ID bereitstellt, weist in Versionen bis und mit 44.1 eine Schwachstelle bei Broken Access Control auf (CWE-862). Ein Angreifer mit einem gültigen Subscriber-Konto kann Funktionen oder Daten aufrufen, für die er nicht berechtigt ist; der CVSS-Wert 8.5 berücksichtigt den Scope Change und die hohe Vertraulichkeitsauswirkung. Das Risiko ist am grössten, wenn Selbstregistrierung offen ist oder SSO Konten automatisch erstellt.
Betroffen
- WPO365 LOGIN (WordPress-Plugin) bis und mit 44.1
- Erforderliche Berechtigung: Subscriber
Behoben in
- Update auf Version 45.0 oder neuer (gemäss Patchstack). Die aktuelle Version auf WordPress.org ist 45.1.
- Hinweis: Die Zuordnung des WPScan-Eintrags zu 45.0 zu dieser CVE ist wahrscheinlich, aber nicht bestätigt.
Umgehung
- Unbekannt. Der Hersteller nennt keinen Workaround; das Update ist die primäre Massnahme.
- Falls das Update verzögert wird, Subscriber-Konten prüfen und kontrollieren, ob Selbstregistrierung oder automatische Kontoerstellung aktiviert ist.
Ausnutzung
- In den geprüften Quellen ist keine Ausnutzung bekannt. CISA SSVC führt Exploitation als none und Automatable als no auf.
- Patchstack stuft die Lücke als hohe Priorität ein, erwartet eine Ausnutzung und weist auf verfügbare Mitigationsregeln hin.
- Öffentlicher PoC: unbekannt.
Unsere Empfehlung
- Alle WPO365-Installationen finden und die Version prüfen.
- Auf 45.1 (mindestens 45.0) aktualisieren. Bei Apache mit aktivierter Option Media Folder diese nach dem Update deaktivieren und wieder aktivieren.
- Subscriber-Konten und die automatische Kontoerstellung bei Microsoft Entra SSO prüfen und nicht benötigte Konten entfernen.
- Auf ungewöhnliche Anmeldungen achten und NVD sowie Patchstack auf Aktualisierungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- WordPress.org plugin page WPO365 LOGIN wordpress.org
- HOL Guard CVE entry hol.org
- WPScan plugin entry wpscan.com
- Securityonline CVE watchtower entry securityonline.info
- WPO365 Entra ID single sign-on for WordPress www.wpo365.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:25.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.