WizLearn LMS: Authentifizierungsumgehung im Social-Login-Handler
Zusammenfassung
Ein nicht authentifizierter Angreifer aus dem Netz kann mit einer speziell gestalteten POST-Anfrage an den Social-Login-Handler des WizLearn Learning Management Systems die Passwort- und OAuth-Authentifizierung umgehen. Ein erfolgreicher Angriff kann Zugriff auf Benutzerkonten und vollständige administrative Kontrolle über die LMS-Plattform ermöglichen. Die Schwachstelle ist als KRITISCH eingestuft, mit einem CVSS-3.1-Basiswert von 9.8.
Betroffen
- WizLearn LMS (lms.wizlearn.com), insbesondere der Social-Login-Handler unter /wizlearnlms/Login/Login.aspx
- Betroffene Versionen: Unbekannt.
Behoben in
- Korrigierte Versionen: Nicht veröffentlicht. Der Hersteller meldet, dass die notwendigen Massnahmen für seinen gehosteten Dienst umgesetzt wurden.
Umgehung
- Durch den Hersteller umgesetzt: Google- und Facebook-Social-Login auf WizLearn LMS deaktiviert.
- Durch den Hersteller umgesetzt: alle aktiven Benutzersitzungen ungültig gemacht.
- Social Login bleibt deaktiviert, bis eine sichere serverseitige Überprüfung der OAuth-Token implementiert und validiert ist.
- Selbst gehostete Installationen: Unbekannt.
Ausnutzung
- Bekannte Ausnutzung in freier Wildbahn: Keine gefunden.
- Öffentlicher Proof of Concept: Keiner gefunden.
- Der Status kann sich nach der Meldung vom 23. Oktober 2026 rasch ändern.
Unsere Empfehlung
- Bei WizLearn schriftlich bestätigen lassen, dass Ihr Mandant gepatcht ist, und die korrigierte Versionsnummer anfordern.
- Google- und Facebook-Social-Login deaktiviert lassen, bis der Hersteller die Korrektur bestätigt.
- Admin-Kontolisten und Login-Protokolle seit Anfang Oktober 2026 auf unerwartete Admin- oder Social-Login-Aktivitäten prüfen, insbesondere am Login-Handler /wizlearnlms/Login/Login.aspx.
- Passwort-Zurücksetzung für Admin-Konten und für Konten erzwingen, die Social Login verwendet haben.
- Administrativen Zugriff auf das LMS nach IP-Adresse oder per VPN einschränken, sofern das Produkt dies unterstützt.
- NVD, CISA KEV und GitHub in den kommenden Tagen auf Aktualisierungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CSA Alert AL-2026-155 www.csa.gov.sg
- VulDB entry 425598 vuldb.com
- VulDB CVE-2026-63244 vuldb.com
- Strix AI CVE-2026-63244 www.strix.ai
- CVE-2026-63244 on threatint cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:53.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.