WordPress Login with phone number: Fehlerhafte Authentifizierung
Zusammenfassung
Das WordPress-Plugin Login with phone number bis einschliesslich Version 1.8.78 enthält eine fehlerhafte Authentifizierung (CWE-1390, CVSS 8.8 laut CNA). Laut Patchstack kann ein Angreifer das Login umgehen oder sich ohne Passwort als andere Benutzer anmelden. Patchstack nennt als erforderliche Berechtigung Subscriber, daher ist möglicherweise ein Konto mit niedrigen Rechten nötig, die genaue Voraussetzung ist jedoch nicht bestätigt.
Betroffen
- WordPress-Plugin Login with phone number (Paket login-with-phone-number), Versionen bis einschliesslich 1.8.78
- Startversion nicht angegeben (n/a), daher gelten alle Versionen bis 1.8.78 als betroffen
Behoben in
- Version 1.8.79 (laut Patchstack und Lösungshinweis der CNA)
- Hinweis: Der Changelog von 1.8.78 beschreibt separate Sicherheitsfixes; die korrigierte Version muss anhand des Patchstack-Advisory bestätigt werden
Umgehung
- Unbekannt. Es wurde kein dokumentierter Workaround gefunden.
- Übergangsmassnahme: Patchstack hat eine Schutzregel ausgegeben, die Angriffe blockiert, bis das Plugin aktualisiert ist, sofern ein Patchstack-Schutzdienst genutzt wird.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn (OffSeq, Strix). CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung teilweise.
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung.
- Kein öffentlicher Proof of Concept gefunden (VulDB).
Unsere Empfehlung
- Alle WordPress-Websites mit diesem Plugin ermitteln.
- Das Plugin so rasch wie möglich auf Version 1.8.79 oder neuer aktualisieren.
- Erfolgreiche Anmeldungen überprüfen, insbesondere bei Konten mit Telefon-Login, für den Zeitraum vor dem Update.
- Die Seiten von Patchstack und NVD erneut prüfen, da der Eintrag noch analysiert wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory: Broken Authentication in Login with phone number patchstack.com
- VulDB entry 428362 vuldb.com
- OffSeq Radar: CVE-2026-115967 radar.offseq.com
- Strix: CVE-2026-115967 www.strix.ai
- GitHub release 1.8.79 github.com
- Plugin developer repository (idehweb) github.com
- WordPress.org plugin page wordpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:22.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.