WPCOM Member-Plugin: Authentifizierungsumgehung über Social-Login-Callback

Zusammenfassung

Das WPCOM Member-Plugin für WordPress bis einschliesslich Version 1.7.27 enthält eine unauthentifizierte Authentifizierungsumgehung im Callback-Handler des Social Logins. Ein Angreifer kann mit gezielten GET-Anfragen Sitzungsdaten fälschen und sich als beliebiger WordPress-Benutzer anmelden, einschliesslich Administratoren, sofern die Social-Provider-Kennung (openid oder unionid) des Opfers bekannt ist oder ermittelt werden kann. Voraussetzung ist, dass auf der Website mindestens ein Social-Login-Provider konfiguriert ist.

Betroffen

• WPCOM Member-Plugin für WordPress, alle Versionen bis einschliesslich 1.7.27
• Voraussetzung für die Ausnutzung: mindestens ein konfigurierter Social-Login-Provider

Behoben in

• Die Quellen widersprechen sich: VulDB und OpenCVE nennen Version 1.7.28 oder neuer, Patchstack und WPScan nennen Version 1.8.0
• Die korrigierte Version vor der Einführung auf WordPress.org prüfen; 1.8.0 oder neuer ist das sichere Ziel

Umgehung

• Kein vom Hersteller dokumentierter Workaround.
• Social-Login-Provider bis zur Aktualisierung des Plugins deaktivieren.
• Patchstack-Kunden erhalten unter Umständen einen virtuellen Patch.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn; nicht im CISA KEV-Katalog aufgeführt.
• Patchstack erwartet eine künftige Ausnutzung; dies ist eine Prognose.
• Kein öffentlicher Proof-of-Concept gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
• EPSS 0.00449 (Datum unbekannt).

Unsere Empfehlung

• WordPress-Websites auf das Plugin wpcom-member prüfen und die installierte Version kontrollieren.
• Auf Version 1.8.0 oder neuer aktualisieren, bestätigt auf WordPress.org.
• Social-Login-Provider bis zur Aktualisierung nach Möglichkeit deaktivieren.
• Nach der Aktualisierung Administratorkonten auf unbekannte Benutzer oder unerwartete Anmeldungen prüfen, Administratorpasswörter zurücksetzen und aktive Sitzungen ungültig machen.
• Prüfen, ob ein Dienst für virtuelles Patching oder eine WAF als Übergangsmassnahme vorhanden ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence record www.wordfence.com
• Patchstack vulnerability record patchstack.com
• WPScan plugin page wpscan.com
• VulDB CVE entry vuldb.com
• WordPress.org plugin page wordpress.org
• Trac source: social-login.php (1.7.27) plugins.trac.wordpress.org
• Trac source: class-sesstion.php (1.7.27) plugins.trac.wordpress.org
• OpenCVE entry app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:58.