asVereinbase WordPress-Plugin: Authentifizierungsumgehung über 2FA-Validierung
Zusammenfassung
Das WordPress-Plugin asVereinbase vor Version 1.1.8 prüft beim Login weder Passwort noch zweiten Faktor korrekt. Ein nicht authentifizierter Angreifer kann sich als beliebiger Benutzer, inklusive Administratoren, anmelden und die WordPress-Website übernehmen. Für den Angriff genügt Netzwerkzugriff auf eine öffentlich erreichbare WordPress-Website mit installiertem Plugin.
Betroffen
- asVereinbase WordPress-Plugin Versionen vor 1.1.8 (bis 1.1.7)
Behoben in
- Behoben in Version 1.1.8
Umgehung
- Unbekannt. Vom Hersteller ist keine Workaround-Massnahme dokumentiert. Die Deaktivierung des Plugins beseitigt die Exposition.
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt. CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- VulDB gibt an, dass kein Exploit existiert.
- Ein öffentliches Nuclei-Erkennungstemplate prüft die Plugin-Version passiv.
- EPSS etwa 0.19%.
Unsere Empfehlung
- Alle WordPress-Websites auf das Plugin asVereinbase prüfen, inklusive Staging- und vergessener Websites.
- Auf Version 1.1.8 oder neuer aktualisieren oder das Plugin entfernen.
- Administratorkonten und letzte Anmeldungen prüfen, auf unbekannte Konten oder Rollenänderungen achten.
- Zugangsdaten zurücksetzen, falls etwas verdächtig erscheint.
- Falls ein Update nicht sofort möglich ist, das Plugin deaktivieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability entry CVE-2026-110956 wpscan.com
- VulDB entry 426062 vuldb.com
- Nuclei templates pull request 17552 github.com
- OpenCVE CVE-2026-110956 app.opencve.io
- GitHub CVE issue 2956 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:38.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.