Theme My Login: Unauthentifizierte Kontoübernahme über Passwort-Zurücksetzung
Zusammenfassung
Das WordPress-Plugin Theme My Login bis und mit Version 7.2.1 prüft die Identität eines Benutzers nicht korrekt, bevor das Passwort geändert wird. Unter bestimmten Konfigurationen auf WordPress Multisite kann ein nicht authentifizierter Angreifer das Passwort beliebiger Benutzer ändern, einschliesslich Administratoren. Ein erfolgreicher Angriff gibt die volle Kontrolle über die betroffene Website oder das Netzwerk. Eine öffentliche Proof of Concept ist gemeldet, und die Korrektur steht seit Version 7.2.2 zur Verfügung.
Betroffen
- Theme My Login bis und mit Version 7.2.1
- Vor allem relevant auf WordPress Multisite in bestimmten Konfigurationen (die Option tml_user_passwords soll erforderlich sein)
Behoben in
- Version 7.2.2 oder neuer (veröffentlicht am 11.09.2026, vor dem Veröffentlichungsdatum der CVE)
Umgehung
- Dem Hersteller ist keine Workaround-Lösung bekannt.
- Falls kein Patch möglich ist: Zugriff auf Login- und Passwort-Zurücksetzungs-Endpunkte einschränken (IP-Allowlist oder WAF-Regeln). Dies reduziert die Exposition, behebt die Schwachstelle aber nicht.
- Logs auf Passwort-Zurücksetzungsanfragen für Administratorkonten prüfen.
Ausnutzung
- Öffentliche Proof of Concept: gemeldet (GitHub, PoC-Beschreibung). Nicht geprüft oder hier reproduziert.
- Ein Nuclei-Erkennungstemplate existiert, daher können Scanner auf diese Schwachstelle prüfen.
- Auf einem Spiegel als in VulnCheck KEV gelistet, jedoch nicht vom Hersteller oder anderen Quellen bestätigt. Kein Eintrag im CISA KEV gefunden.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
Unsere Empfehlung
- Alle WordPress-Websites und -Netzwerke mit Theme My Login inventarisieren und die Version sowie die Nutzung von Multisite prüfen.
- Auf Version 7.2.2 oder neuer aktualisieren, zuerst die Multisite-Netzwerke, und die in WordPress angezeigte Version kontrollieren.
- Falls das Patchen verzögert wird: Login- und Passwort-Zurücksetzungs-Endpunkte einschränken und Logs prüfen.
- Nach dem Patchen auf unerwartete Passwortänderungen sowie neue oder veränderte Administratorkonten prüfen und bei Auffälligkeiten Administrator-Passwörter zurücksetzen.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
murrez/CVE-2026-89079
Quellen der Recherche
- Wordfence threat intelligence entry www.wordfence.com
- WordPress.org changeset 3696081 (fix) plugins.trac.wordpress.org
- Theme My Login GitHub releases github.com
- VulDB CVE-2026-89079 vuldb.com
- VulDB entry 421140 vuldb.com
- Vulners Nuclei template CVE-2026-89079 vulners.com
- PoC write-up (pocbit) pocbit.org
- Strix CVE-2026-89079 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:42.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.