WPMobile.App WordPress-Plugin: Autorisierungsumgehung führt zur Übernahme von Admin-Konten

Zusammenfassung

Das WordPress-Plugin WPMobile.App, das mobile Apps erstellt und Push-Benachrichtigungen versendet, prüft bei bestimmten Aktionen die Autorisierung nicht. Ist die Funktion Mail-to-Push aktiviert, kann ein nicht authentifizierter Angreifer Passwort-Zurücksetzen-URLs beliebiger Benutzer, einschliesslich Administratoren, aus der Push-Warteschlange auslesen und damit diese Konten übernehmen. Der CVSS-Wert beträgt 9.8 (kritisch).

Betroffen

• Alle Versionen bis und mit 11.82
• Der Herstellername lautet im CVE-Eintrag "amauric"; andere Einträge verwenden "Amauri.IO"
• Die Ausnutzung erfordert die Einstellung wpmobile_auto_mail=1 (Mail-to-Push aktiviert)

Behoben in

• Die korrigierten Versionen sind je nach Quelle unklar. Das Changelog auf WordPress.org verortet die Korrektur der Zugriffskontrolle in Version 11.87; OpenCVE nennt 11.83 oder neuer.
• Installieren Sie die neueste Version auf WordPress.org (zum Zeitpunkt der Recherche 11.87) und prüfen Sie das Changelog vor dem Rollout.

Umgehung

• Mail-to-Push deaktivieren (wpmobile_auto_mail=0), falls ein Patch nicht sofort möglich ist.
• Vom Hersteller freigegebene WAF-Regeln: Unbekannt.

Ausnutzung

• CISA SSVC: Ausnutzung none, automatisierbar yes, technische Auswirkung total.
• Öffentlicher Proof-of-Concept-Code existiert in öffentlichen Repositories, wobei die Quellen hierzu widersprüchlich sind.
• Nicht in CISA KEV gelistet. Ein VulnCheck-KEV-Eintrag wurde gefunden, konnte aber nicht verifiziert werden.
• Bei der Recherche wurde keine bestätigte Ausnutzung in freier Wildbahn gefunden.

Unsere Empfehlung

• Prüfen Sie, ob das Plugin WPMobile.App auf öffentlich erreichbaren WordPress-Seiten installiert ist.
• Aktualisieren Sie auf die neueste Version von WordPress.org und bestätigen Sie die Korrektur im Changelog des Herstellers.
• Deaktivieren Sie Mail-to-Push, sofern die Funktion nicht benötigt wird.
• Prüfen Sie die Push-Warteschlange auf Passwort-Zurücksetzen-Zeichenfolgen und kontrollieren Sie Administratorkonten auf unautorisierte Änderungen, Passwortzurücksetzungen und neue Benutzer.
• Setzen Sie die Passwörter der Administratorkonten zurück, falls eine Übernahme vermutet wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  anoxhunterdump-ctrl/CVE-2026-94541-WPMobileApp-AuthBypass

Quellen der Recherche

• Wordfence threat intelligence record www.wordfence.com
• WordPress.org plugin page (WPMobile.App) wordpress.org
• GitHub Security Advisory GHSA-qhj3-2w8c-62vm github.com
• OpenCVE CVE-2026-94541 app.opencve.io
• Vulners CVE-2026-94541 (CVE list) vulners.com
• PT-2026-104180 (Vulners) vulners.com
• Plugin source: push.php plugins.trac.wordpress.org
• TheHackerWire CVE-2026-94541 www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:26.