Basel Post Types WordPress-Plugin: Authentifizierungsumgehung über gefälschten Opauth-Callback
Zusammenfassung
Das WordPress-Plugin Basel Post Types bis und mit Version 1.18 verwendet wegen eines Programmierfehlers in der Konfigurationsprüfung einen fest codierten Ersatz-Salt. Ein nicht authentifizierter Angreifer kann offline eine gültige Opauth-Signatur berechnen und einen gefälschten Login-Callback für jedes bestehende WordPress-Konto erstellen, einschliesslich Administratoren. Der Angriff setzt voraus, dass WooCommerce aktiv ist und mindestens ein Social-Login-Anbieter (Facebook, Google oder VKontakte) mit App-Zugangsdaten in den Theme-Einstellungen konfiguriert ist.
Betroffen
- Basel Post Types Plugin bis und mit Version 1.18
- Ausnutzung setzt voraus, dass WooCommerce aktiv ist
- Ausnutzung setzt voraus, dass ein Social-Login-Anbieter Facebook, Google oder VKontakte mit konfigurierten Zugangsdaten vorhanden ist
Behoben in
Unbekannt. Der Hersteller hat noch keine korrigierte Version bestätigt.
Umgehung
- Social-Login-Funktionen des Basel-Themes deaktivieren oder die App-Zugangsdaten (app_id und app_secret) entfernen, bis ein Herstellerfix verfügbar ist; Wirksamkeit nicht verifiziert
- Plugin Basel Post Types deaktivieren, falls es nicht zwingend benötigt wird
- Keine vom Hersteller bestätigte Massnahme vorhanden
Ausnutzung
- Angriffsvektor: Netzwerk, keine Authentifizierung, geringe Komplexität (CVSS 3.1: 9.8, kritisch)
- Bekannte Ausnutzung in freier Wildbahn: Unbekannt. Laut einer Drittquelle nicht als ausgenutzt bekannt.
- Öffentlicher Proof-of-Concept: Unbekannt. In den Recherchen keiner gefunden.
Unsere Empfehlung
- Websites mit dem Basel-Theme oder dem Plugin Basel Post Types inventarisieren und die installierte Plugin-Version prüfen
- Wo Social Login aktiviert ist, diesen deaktivieren oder die Anbieter-Zugangsdaten entfernen, bis ein Herstellerfix bestätigt ist
- Beim Hersteller XTemos nach Fixdatum und Advisory fragen und Changelog sowie Wordfence-Eintrag überwachen
- Administratorkonten und letzte Anmeldungen auf exponierten Websites auf unerwartete Aktivitäten prüfen
- Status zu Ausnutzung und Proof-of-Concept in den nächsten Tagen erneut prüfen
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
im0xfay/CVE-2026-89324
Quellen der Recherche
- Wordfence threat intelligence record www.wordfence.com
- CVE Record CVE-2026-89324 www.cve.org
- ThemeForest Basel product page themeforest.net
- OffSeq threat radar entry radar.offseq.com
- XTemos Basel changelog xtemos.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 23:32.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.