Qode Membership: Authentifizierungsumgehung im Social Login ermöglicht Kontoübernahme
Zusammenfassung
Das WordPress-Plugin Qode Membership, das mit dem Bridge-Theme ausgeliefert wird, enthält eine Authentifizierungsumgehung im Facebook-Social-Login. Ein Tippfehler in einer Prüfbedingung führt dazu, dass die Token-Prüfung übersprungen wird, und das Plugin meldet den Benutzer an, dessen Login dem angegebenen Namen entspricht, auch Administratorkonten. Ein nicht authentifizierter Angreifer kann so jedes WordPress-Konto und damit die ganze Website übernehmen, sofern er einen Nonce-Wert erhält, der auf öffentlichen Login- oder Registrierungsseiten ausgegeben wird.
Betroffen
- Qode Membership 2.0.6.2 und alle früheren Versionen
Behoben in
- Vom Hersteller bestätigte Korrekturversion: Unbekannt.
- VulDB nennt Version 2.0.6.3 oder neuer; dies ist nicht durch den Hersteller oder Wordfence bestätigt.
Umgehung
- Unbekannt. Vom Hersteller ist kein Workaround dokumentiert.
- Plugin deaktivieren, falls Login und Registrierung darüber nicht benötigt werden.
Ausnutzung
- Ausnutzung in freier Wildbahn nicht bekannt; nicht im CISA KEV aufgeführt.
- Kein öffentlicher Exploit oder Proof of Concept gefunden.
- CISA SSVC: automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- Prüfen, ob Qode Membership installiert ist, auch als Bestandteil des Bridge-Themes.
- Auf eine bestätigte Korrekturversion aktualisieren, sobald der Hersteller sie veröffentlicht; bis dahin das Plugin deaktivieren, falls es nicht benötigt wird.
- Administratorkonten auf unerwartete Anmeldungen oder Änderungen prüfen und Zwei-Faktor-Authentifizierung erzwingen.
- Logs auf ungewöhnliche Anmeldeaktivitäten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Wordfence threat intelligence advisory www.wordfence.com
- VulDB CVE-2026-92885 vuldb.com
- VulDB entry 427067 vuldb.com
- WPScan vulnerability entry wpscan.com
- CVE record mirror (threatint) cve.threatint.com
- Qode Bridge changelog bridge.qodeinteractive.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:31.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.