Melapress WP 2FA: Cross-Site Request Forgery im WordPress-Plugin

Zusammenfassung

Das WordPress-Plugin WP 2FA (Zwei-Faktor-Authentifizierung) enthält eine Cross-Site Request Forgery (CSRF) Schwachstelle (CWE-352). Ein Angreifer kann eine manipulierte Verlinkung oder Seite erstellen, die einen angemeldeten Benutzer unbemerkt Aktionen im Plugin ausführen lässt, unter anderem Änderungen an den 2FA-Einstellungen. Voraussetzung ist, dass ein angemeldeter Benutzer, etwa ein Administrator, auf den Inhalt des Angreifers gelockt wird.

Betroffen

• WP 2FA WordPress-Plugin bis und mit 4.1.0 (gemäss CNA und Patchstack)
• Einige Datenbanken geben den Bereich als unter 4.2.0 an; alle Versionen unter 4.2.x als betroffen behandeln

Behoben in

• Aktualisierung auf 4.2.0 oder neuer (Minimum gemäss CNA und Patchstack)
• Die aktuelle Version 4.2.1 (14. Oktober 2026) von Melapress enthält einen CSRF-Sicherheitsfix; die genaue Zuordnung zwischen CVE und Release ist vom Hersteller nicht bestätigt

Umgehung

• Kein vom Hersteller dokumentierter Workaround gefunden. Die Aktualisierung ist die empfohlene Massnahme.
• Allgemeine Vorsichtsmassnahme: WordPress-Admin nicht verwenden, wenn nicht benötigt, und im angemeldeten Zustand keine anderen Websites besuchen.

Ausnutzung

• Nicht als in freier Wildbahn ausgenutzt bekannt; nicht im CISA KEV aufgeführt.
• CISA SSVC: Exploitation none, nicht automatisierbar, totale technische Auswirkung.
• EPSS 0.0013.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Das Plugin WP 2FA auf die neueste Version aktualisieren (mindestens 4.2.0, aktuell 4.2.1).
• Alle WordPress-Installationen auf WP 2FA in Version 4.1.0 oder älter prüfen.
• Nach der Aktualisierung 2FA-Einstellungen und Administratorkonten auf unerwartete Änderungen prüfen.
• wp-admin nicht in derselben Browsersitzung verwenden wie das allgemeine Surfen im Web.
• Versionen 4.1.0 und älter haben weitere bekannte 2FA-Umgehungen und Probleme beim Entfernen von Benutzern, was die Aktualisierung zusätzlich begründet.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack: WP 2FA vulnerability entry patchstack.com
• Patchstack: WP 2FA vulnerabilities overview patchstack.com
• Melapress WP 2FA release notes melapress.com
• Hol.org: CVE-2026-62142 hol.org
• Offseq: CVE-2026-62142 radar.offseq.com
• Vulners: RAPID7 CVE-2026-62142 (EPSS) vulners.com
• Strix: CVE-2026-62142 www.strix.ai
• WPScan: WP 2FA plugin wpscan.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:13.