Login with phone number WordPress-Plugin: Privilege Escalation
Zusammenfassung
Das WordPress-Plugin Login with phone number bis und mit Version 1.8.77 enthält eine Privilege Escalation, die als falsche Zuweisung von Berechtigungen klassifiziert ist. Gemäss dem Patchstack-Advisory kann ein Benutzer mit niedrigen Rechten zum Administrator aufsteigen und die volle Kontrolle über die Website erlangen. Der CVSS-3.1-Basiswert beträgt 8.1 bei hoher Angriffskomplexität; Patchstack gibt als erforderliche Berechtigung «nicht authentifiziert» an. Öffentliche Quellen melden zum Zeitpunkt der Erstellung keine bekannte Ausnutzung.
Betroffen
- Login with phone number WordPress-Plugin, Versionen bis und mit 1.8.77
- Versionen vor 1.8.78 gelten gemäss den CNA-Versionsdaten als betroffen
Behoben in
- Version 1.8.78 (erste nicht betroffene Version gemäss CNA und Patchstack)
- Neuere Releases sollten ebenfalls installiert werden; ein nicht verifizierter Aggregator meldet eine spätere Korrektur in 1.8.79
Umgehung
- Keine Workaround-Massnahme des Herstellers bekannt.
- Falls nicht sofort aktualisiert werden kann, das Plugin oder die Telefon-Login-Funktion vorübergehend deaktivieren (eigene Empfehlung, nicht vom Hersteller).
Ausnutzung
- In den geprüften Quellen nicht als aktiv ausgenutzt markiert.
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung; CISA SSVC gibt Exploitation als none und Automatable als no an.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle WordPress-Installationen mit diesem Plugin erfassen, einschliesslich Staging- und Kundensystemen.
- Auf Version 1.8.78 oder neuer aktualisieren, vorzugsweise auf das neueste Release von WordPress.org oder GitHub.
- Auf unerwartete Administratorkonten und kürzliche Rollenänderungen prüfen.
- WordPress- und Serverprotokolle seit Mitte Oktober 2026 auf ungewöhnliche Logins oder Rollenaktualisierungen prüfen.
- NVD und Patchstack auf Aktualisierungen zu diesem Eintrag überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- CVE record mirror (CNA data) vulners.com
- Vendor release 1.8.78 github.com
- Plugin changelog github.com
- Exploitation status summary hol.org
- VulDB entry vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:48.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.