DevKit Pro WordPress-Plugin: Authentifizierungsumgehung mit Administrator-Übernahme

Zusammenfassung

DevKit Pro für WordPress bis einschliesslich 2.3.0 enthält eine Authentifizierungsumgehung. Ein nicht angemeldeter Angreifer kann ein manipuliertes Cookie original_user_id setzen, einen Nonce abgreifen, den das Plugin im öffentlichen Seitenfuss ausgibt, und an den Handler revert_switch senden. Dadurch entsteht eine Administrator-Sitzung, und der Angreifer erhält volle Kontrolle über die Website (CVSS 9.8). Ein öffentlicher Proof-of-Concept existiert, und der Hersteller hat keine Workaround-Massnahme veröffentlicht.

Betroffen

• dplugins DevKit Pro, alle Versionen bis einschliesslich 2.3.0

Behoben in

Unbekannt.

• Die Quellen widersprechen sich bei der ersten korrigierten Version (Drittquellen nennen 2.3.1 oder 3.0.0).
• Das Changelog des Herstellers führt eine Korrektur für dieses Problem nicht eindeutig auf.
• Installieren Sie die neueste DevKit-Pro-Version und prüfen Sie die installierte Version nach dem Update.

Umgehung

Unbekannt. Der Hersteller hat keinen Workaround veröffentlicht.

• Deaktivieren oder entfernen Sie DevKit Pro, bis eine korrigierte Version installiert ist.
• Falls eine Entfernung nicht möglich ist, deaktivieren Sie die Umschalt-Funktion im Users Manager.

Ausnutzung

• Öffentlicher Proof-of-Concept: ja.
• Aktive Ausnutzung in freier Wildbahn: zum Zeitpunkt der Recherche keine bestätigten Meldungen.
• Zum Zeitpunkt der Recherche nicht im Katalog CISA KEV aufgeführt. Eine Massenausnutzung gilt als plausibel.

Unsere Empfehlung

• Prüfen Sie alle WordPress-Websites auf DevKit Pro und die installierte Version.
• Aktualisieren Sie DevKit Pro sofort auf die neueste Version, wenn die Website Version 2.3.0 oder älter einsetzt, oder entfernen Sie das Plugin.
• Prüfen Sie auf unbekannte Administratorkonten, kürzlich geänderte Administratorpasswörter und unbekannte Sitzungen.
• Prüfen Sie die Logs des Webservers auf Anfragen mit einem Cookie original_user_id.
• Bei einem Verdacht auf Kompromittierung setzen Sie die Administrator-Zugangsdaten zurück und invalidieren alle Sitzungen.
• Überwachen Sie den Katalog CISA KEV auf diese CVE.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (2 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  anoxhunterdump-ctrl/CVE-2026-14378-DevKit-Pro-Auth-Bypass · murrez/CVE-2026-14378

Quellen der Recherche

• NVD/Wordfence CVE record reference (Wordfence threat intel) www.wordfence.com
• DevKit changelog (vendor, NVD reference) docs.dplugins.com
• Auth bypass cluster write-up (dev.to) dev.to
• Proof-of-concept repository (GitHub) github.com
• CVE summary (cvefeed.io) cvefeed.io
• CVE summary (OpenCVE) app.opencve.io
• The Hacker Wire entry www.thehackerwire.com
• Exploit listing (vulners) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:30.