SSL Wireless SMS Notification: Authentifizierungsumgehung führt zu Kontoübernahme

Zusammenfassung

Das WordPress-Plugin SSL Wireless SMS Notification bis und mit Version 3.8.1 enthält eine Authentifizierungsumgehung in seiner OTP-Login-Funktion. Der Abschlussschritt prüft weder das per SMS gesendete Einmalpasswort noch dessen einmalige Verwendung und gleicht nur die vom Angreifer gelieferte Telefonnummer und Sitzungsdaten ab, sodass der Benutzer allein anhand der hinterlegten Telefonnummer gesucht wird. Ein nicht authentifizierter Angreifer, der die Telefonnummer eines Benutzers kennt, kann so eine Sitzung als dieser Benutzer erhalten, was auch Administratoren oder Shop-Manager betreffen kann.

Betroffen

• SSL Wireless SMS Notification für WordPress, alle Versionen bis und mit 3.8.1
• Nur Websites mit aktivierter optionaler OTP-Login-Funktion sind gemäss Quelle vom beschriebenen Fehlerpfad betroffen

Behoben in

Unbekannt. Es ist keine korrigierte Version bestätigt.

Umgehung

• Plugin oder dessen SMS-basierte OTP-Login-Funktion deaktivieren, bis eine korrigierte Version bestätigt ist
• Zugriff auf die betroffenen Endpunkte einschränken, zum Beispiel über eine IP-Allowlist, als Übergangsmassnahme
• Rate Limiting einsetzen und Authentifizierungsanfragen auf ungewöhnliche Muster überwachen

Ausnutzung

• CVSS 3.1 8.1 (AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H) gemäss CNA; VulDB nennt 7.3
• Kein öffentlicher Exploit bekannt; VulDB gibt an, dass kein Exploit verfügbar ist
• Nicht bekannt, dass die Lücke aktiv ausgenutzt wird; nicht im CISA KEV
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total
• EPSS 0.48 % (Perzentil 41)

Unsere Empfehlung

• Websites auf dieses Plugin prüfen; Version 3.8.1 und früher als verwundbar behandeln
• Falls das Plugin vorhanden ist, es oder dessen OTP-Login-Funktion deaktivieren, bis eine korrigierte Version bestätigt ist
• Administrator- und Shop-Manager-Konten auf unerwartete Anmeldungen und aktive Sitzungen prüfen; Passwörter zurücksetzen und Sitzungen ungültig machen
• Changelog von WordPress.org und den Wordfence-Eintrag auf eine Korrektur überwachen; erscheint keine, die Entfernung des Plugins planen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence entry www.wordfence.com
• Plugin source (version 3.8.1, SVN tag) plugins.svn.wordpress.org
• Wordfence vulnerability page for the plugin www.wordfence.com
• VulDB CVE-2026-96228 vuldb.com
• VulDB vulnerability 428281 vuldb.com
• OffSeq Radar entry radar.offseq.com
• Strix CVE entry www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 17:48.