Mindstien Quick Login: Authentifizierungsumgehung führt zur Übernahme des Administratorkontos
Zusammenfassung
Das WordPress-Plugin Mindstien Quick Login bis einschliesslich Version 1.0 prüft einen Wert aus der Anfrage nicht korrekt gegen die Session des Besuchers, bevor dieser authentifiziert wird. Ein nicht authentifizierter Angreifer kann dadurch eine Session als das im Plugin konfigurierte Administratorkonto erhalten und so die volle Kontrolle über die WordPress-Website übernehmen. Es sind weder Benutzerinteraktion noch Zugangsdaten nötig, und die Lücke ist über das Internet erreichbar, sofern das Plugin aktiv ist.
Betroffen
- WordPress-Plugin Mindstien Quick Login (Slug mindstien-quick-login), Versionen 0 bis 1.0
- Der Hersteller ist unbekannt; es wurde keine offizielle Herstellerwarnung gefunden
Behoben in
Unbekannt. Weder der Hersteller noch WPScan bestätigen eine korrigierte Version. Eine Quelle von Positive Technologies nennt Version 1.1 als Korrektur, dies ist jedoch nicht verifiziert.
Umgehung
- Keine Herstellermassnahme gefunden
- Plugin deaktivieren und entfernen, bis eine verifizierte korrigierte Version verfügbar ist
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn gemeldet
- Nicht in CISA KEV gelistet
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total
- Öffentlicher Proof of Concept: nicht bestätigt
Unsere Empfehlung
- Alle WordPress-Websites auf das Plugin mindstien-quick-login prüfen und es bei Vorhandensein entfernen
- Administratorenliste auf unerwartete Konten oder Rollenänderungen prüfen
- Login- und Admin-Aktivitätsprotokolle auf unerwartete Administrator-Anmeldungen prüfen
- Administratorpasswörter zurücksetzen und aktive Sessions ungültig machen, falls eine Kompromittierung vermutet wird
- Zugriff auf wp-admin und die Login-Seite nach Möglichkeit per IP, VPN oder Firewall einschränken
- Auf neue Plugin-Updates achten und die Lage erst nach einer verifizierten Korrektur neu beurteilen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability record wpscan.com
- OpenCVE CVE-2026-84734 app.opencve.io
- VulDB CVE-2026-84734 vuldb.com
- Vulners NVD record CVE-2026-84734 vulners.com
- Offseq threat radar entry radar.offseq.com
- Positive Technologies PT-2026-110035 vulners.com
- GitHub issue astruzocyber CVE 1697 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:15.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.