Ultimate Multisite: Authentifizierungsumgehung über das Checkout-Formular

Zusammenfassung

Ultimate Multisite ist ein WordPress-Multisite-Plugin zum Aufbau und Betrieb von Website-as-a-Service-Plattformen. In Versionen bis einschliesslich 2.15.0 kann ein nicht authentifizierter Angreifer den öffentlichen AJAX-Handler des Checkouts missbrauchen, um sich als beliebiger bestehender WordPress-Benutzer anzumelden, auch als Network Super Admin, und kennt dafür nur die E-Mail-Adresse. Voraussetzung ist, dass das Zielkonto keinen Ultimate-Multisite-Kundendatensatz besitzt, was auf Administratoren und Editoren zutrifft, die vor der Konfiguration des Plugins angelegt wurden.

Betroffen

• Ultimate Multisite bis einschliesslich 2.15.0

Behoben in

• 2.15.1 behebt CVE-2026-75957 laut Patchstack und dem Changelog auf WordPress.org.
• CVE-2026-103646 (Parameter email_address) wird durch 2.15.1 nicht behoben. Die Behebung wird in 2.17.0 gemeldet.
• Neueste sichere Version: Unbekannt. 2.17.2 wird als Behebung von CVE-2026-107508 (Local File Inclusion) genannt, die aktuell neueste Version konnte jedoch nicht verifiziert werden.

Umgehung

• Kein vom Hersteller dokumentierter Workaround.
• Den öffentlichen Checkout einschränken oder deaktivieren, falls er nicht benötigt wird.

Ausnutzung

• Nicht authentifiziert und über das Netzwerk erreichbar, ohne Benutzerinteraktion. CVSS 3.1 Score 9.8.
• CISA SSVC: automatisierbar ja, technische Auswirkung total.
• Nicht im CISA-KEV-Katalog erfasst. Kein öffentlicher Exploit-Code bestätigt (nicht verifiziert).
• Patchstack erwartet eine Ausnutzung; dies ist eine Prognose, keine beobachtete Kampagne.

Unsere Empfehlung

• Ultimate Multisite auf mindestens 2.17.2 aktualisieren, nicht nur auf 2.15.1, und nach neueren Versionen suchen.
• Administrator- und Network-Super-Admin-Konten sowie letzte Anmeldungen auf unerwartete Sitzungen prüfen.
• Administratorpasswörter nach dem Patch ändern und Sitzungen ungültig machen.
• Prüfen, ob der öffentliche Checkout erreichbar ist, und ihn einschränken, falls er nicht benötigt wird.
• Logs auf Administrator-Anmeldungen aus unbekannten Quellen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence record www.wordfence.com
• Patchstack vulnerability entry patchstack.com
• WordPress.org changeset for version 2.15.1 plugins.trac.wordpress.org
• Vulnerable code in class-checkout.php (tag 2.15.0) plugins.trac.wordpress.org
• WordPress.org plugin page (changelog) en-gb.wordpress.org
• HOL Guard record for CVE-2026-103646 hol.org
• VulDB entry 415272 vuldb.com
• The Hacker Wire entry for CVE-2026-75957 www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:38.