miniOrange OAuth SSO (WordPress): Authentifizierungsumgehung

Zusammenfassung

Das WordPress-Plugin OAuth Single Sign On – SSO (OAuth Client) bis und mit Version 7.1.2 enthält eine Umgehungsschwachstelle (CWE-290, Spoofing durch Umgehung der Authentifizierung), die ohne Authentifizierung ausgenutzt werden kann. Laut Patchstack kann ein Angreifer die Sicherheitsprüfungen des Plugins remote über das Netzwerk umgehen, ohne Zugangsdaten oder Benutzerinteraktion, was zu einer vollständigen Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit führen kann. Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung, wobei bisher kein öffentlicher Proof of Concept oder eine bestätigte Ausnutzung bekannt ist. Der NVD-Status lautet derzeit Deferred.

Betroffen

• WordPress-Plugin OAuth Single Sign On – SSO (OAuth Client) (Slug miniorange-login-with-eve-online-google-facebook), Versionen <= 7.1.2
• Abdeckung der Editionen/Stufen nicht bestätigt; jede installierte Edition prüfen (Free, Standard, Premium, Enterprise)

Behoben in

• Version 7.1.3 oder neuer (laut Patchstack und WPScan; gegen das Changelog auf WordPress.org prüfen)

Umgehung

• Dem Hersteller ist keine Workaround-Massnahme bekannt.
• Bis zur Installation des Updates ist die Deaktivierung des Plugins als vorübergehende Massnahme empfohlen (keine dokumentierte Herstellermassnahme).
• Patchstack bietet seinen Kunden eine virtuelle Patch-Regel an.

Ausnutzung

• CISA SSVC: Ausnutzung none, automatisierbar yes, technische Auswirkung total.
• Nicht im CISA-KEV-Katalog; EPSS unter 1%.
• Kein öffentlicher Proof of Concept gefunden; der Mechanismus ist öffentlich nicht beschrieben.

Unsere Empfehlung

• WordPress-Seiten mit diesem Plugin inventarisieren und die installierte Version und Edition notieren.
• Sofort auf Version 7.1.3 oder neuer aktualisieren; ist dies nicht möglich, das Plugin deaktivieren.
• Administratorkonten und kürzlich erstellte Benutzer prüfen und Logs auf unautorisierte Zugriffe kontrollieren.
• Die Advisories von Patchstack und miniOrange überwachen; zudem meldet ein separater Eintrag, CVE-2026-57807, eine ungepatchte kritische Authentifizierungsumgehung im selben Plugin, die separat verifiziert werden muss.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory CVE-2026-97274 patchstack.com
• OpenCVE CVE-2026-97274 app.opencve.io
• WPScan plugin miniorange-login-with-eve-online-google-facebook wpscan.com
• Vulners Patchstack entry vulners.com
• Ionix threat center CVE-2026-57807 www.ionix.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:52.