WPO365 Login WordPress-Plugin: Authentifizierungsumgehung durch Replay des OIDC id_token-Nonce

Zusammenfassung

Das Plugin WPO365 | Login für WordPress, das WordPress mit Microsoft-Identitätsdiensten verbindet, ist bis und mit Version 44.1 betroffen. Ein nicht authentifizierter Angreifer, der ein zuvor ausgestelltes, noch gültiges id_token für ein Zielkonto erlangt hat, kann dieses erneut verwenden und sich als beliebiger WordPress-Benutzer anmelden, einschliesslich Administratoren, was zur vollständigen Übernahme der Website führen kann. Die Schwachstelle ist nur erreichbar, wenn die nicht standardmässige Option use_id_token_parser_v2 aktiviert ist.

Betroffen

• WPO365 | Login (WordPress-Plugin) Versionen 0 bis und mit 44.1
• Nur ausnutzbar, wenn die Option use_id_token_parser_v2 aktiviert ist
• Standardeinstellung der Option: Unbekannt.

Behoben in

• Behoben in Version 45.0 (gemäss Changeset von 44.1 auf 45.0)
• Die aktuelle, auf wordpress.org gelistete Version ist 45.1

Umgehung

• Option use_id_token_parser_v2 deaktivieren (Übergangsmassnahme, keine Empfehlung des Herstellers; SSO-Anmeldungen danach testen, da dies bei einzelnen SSO-Konfigurationen zu Problemen führen kann)
• Als primäre Massnahme auf Version 45.0 oder neuer aktualisieren

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht im CISA KEV-Katalog bestätigt
• Kein öffentlicher Proof of Concept gefunden; dies beweist jedoch nicht, dass keiner existiert
• EPSS 0.00515 (Drittanbieter-Wert)
• Die Angriffskomplexität ist hoch (AC:H), da ein gültiges id_token benötigt wird

Unsere Empfehlung

• Prüfen, ob das Plugin installiert ist und welche Version aktiv ist; auf Version 45.0 oder neuer aktualisieren
• Bis zur Aktualisierung prüfen, ob use_id_token_parser_v2 deaktiviert ist, und SSO-Anmeldung anschliessend testen
• Administrator- und andere privilegierte Konten auf unerwartete Änderungen oder Anmeldungen überprüfen
• Authentifizierungsprotokolle auf ungewöhnliche Anmeldungen prüfen, insbesondere für Administratorkonten
• Website mit Internetzugang, die Microsoft 365-SSO mit diesem Plugin nutzt, priorisieren

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence (CVE record source) www.wordfence.com
• WordPress plugin changeset 3727410 (fix in 45.0) plugins.trac.wordpress.org
• Changeset comparison 44.1 to 45.0 plugins.trac.wordpress.org
• Id_Token_Service_Deprecated.php (tag 44.1) plugins.trac.wordpress.org
• Nonce_Service.php (tag 44.1) plugins.trac.wordpress.org
• WPScan plugin page wpo365-login wpscan.com
• WordPress.org plugin page wpo365-login wordpress.org
• VulDB CVE-2026-104759 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:16.