Wp Social Login and Register Social Counter: Authentifizierungsumgehung im Social-Login-Callback

Zusammenfassung

Das WordPress-Plugin Wp Social Login and Register Social Counter ist in allen Versionen bis und mit 3.2.2 betroffen. Ein nicht angemeldeter Angreifer kann eine vollständig authentifizierte Sitzung als beliebiger bestehender WordPress-Benutzer erhalten, einschliesslich Administratoren, da der Social-Login-REST-Endpunkt Konten nur anhand der vom OAuth-Anbieter gelieferten E-Mail-Adresse zuordnet und kein Passwort prüft. Voraussetzung ist, dass Facebook- oder Twitter-Login auf der Website konfiguriert ist und der Angreifer ein OAuth-Konto kontrolliert, dessen vom Anbieter gelieferte E-Mail-Adresse mit der registrierten E-Mail-Adresse des Zielkontos übereinstimmt.

Betroffen

• Wp Social Login and Register Social Counter (Slug wp-social) bis und mit 3.2.2
• Voraussetzung: Der Social-Login-Anbieter Facebook oder Twitter ist aktiviert

Behoben in

• Version 3.2.3 gemäss Changelog des Plugins (datiert auf 2026-10-14). Noch nicht gegen das Wordfence-Advisory oder den Trac-Changeset verifiziert.

Umgehung

• Plugin deaktivieren oder mindestens die Anbieter Facebook und Twitter deaktivieren, bis die Website Version 3.2.3 oder neuer nutzt.
• Vom Hersteller genannte Workaround: Unbekannt.

Ausnutzung

• Kein öffentlicher Proof-of-Concept-Exploit gefunden.
• Kein Hinweis auf Ausnutzung in freier Wildbahn gefunden; nicht im CISA-KEV-Katalog aufgeführt.
• Ein Aggregator führt einen VulnCheck-KEV-Eintrag, der nicht verifiziert werden konnte.

Unsere Empfehlung

• Plugin prioritär auf Version 3.2.3 oder neuer aktualisieren und die Version anschliessend überprüfen.
• Bis zur Aktualisierung die Social-Login-Anbieter Facebook und Twitter deaktivieren oder das Plugin deaktivieren.
• Administratorkonten prüfen: letzte Anmeldungen und aktive Sitzungen kontrollieren sowie Passwörter erneuern.
• Öffentlich bekannte E-Mail-Adressen von Administratoren in Betracht ziehen zu ändern.
• Multi-Faktor-Authentifizierung für alle Administratorkonten erzwingen.
• Webserver-Logs auf Anfragen an /wp-json/wslu-social-login/ prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence advisory www.wordfence.com
• WordPress plugin page (changelog) wordpress.org
• Trac changeset plugins.trac.wordpress.org
• Trac: admin-create-user.php (vulnerable code, 3.2.1) plugins.trac.wordpress.org
• Trac: admin-rest-api.php (REST endpoint, 3.2.1) plugins.trac.wordpress.org
• VulDB CVE-2026-103898 vuldb.com
• VulDB vulnerability 429516 vuldb.com
• PSIRT CVE-2026-103898 psirt.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:43.