JSON API Auth WordPress-Plugin: Authentifizierungsumgehung über gecachtes Session-Cookie

Zusammenfassung

Das Plugin JSON API Auth für WordPress bis einschliesslich Version 3.1.2 cacht die Antwort seines Endpunkts generate_auth_cookie im Parent-Plugin JSON API; diese Antwort enthält ein gültiges logged_in-Cookie. Ein nicht authentifizierter Angreifer kann eine gecachte Antwort mit einem gültigen Administrator-Session-Cookie abrufen und das Administratorkonto der Website übernehmen. Voraussetzung sind das Parent-Plugin PI-Media/json-api mit aktiviertem Auth-Controller und ein Administrator-POST an den Endpunkt innerhalb der vorangehenden 24-Stunden-Cache-Laufzeit.

Betroffen

• Plugin JSON API Auth für WordPress, alle Versionen bis einschliesslich 3.1.2
• Voraussetzung ist das Parent-Plugin PI-Media/json-api mit aktiviertem Auth-Controller

Behoben in

• JSON API Auth 3.1.3 (gemäss Research-Notizen ist die Herstellerchangelog zu prüfen)
• JSON API 2.3.1 oder neuer (Parent-Plugin, veröffentlicht am 25.09.2026)
• Legacy-Transients von JSON API nach dem Upgrade leeren

Umgehung

• Falls das Update nicht sofort möglich ist, den Auth-Controller oder das Plugin JSON API Auth deaktivieren
• Parent-Plugin entfernen, sofern nichts davon abhängt
• Unbekannt.

Ausnutzung

• Gemäss aktuellen Quellen keine bestätigte Ausnutzung in freier Wildbahn (SOCRadar)
• Kein öffentlicher Proof of Concept gefunden; die CISA-SSVC-Bewertung lautet Automatisierbar: ja, technische Auswirkung: total
• Laut SOCRadar nicht im CISA-KEV-Katalog gelistet, eine direkte Prüfung erfolgte nicht

Unsere Empfehlung

• Prüfen, ob die Plugins JSON API und JSON API Auth auf WordPress-Websites installiert sind
• JSON API auf 2.3.1 oder neuer und JSON API Auth auf 3.1.3 oder neuer aktualisieren, danach Legacy-Transients leeren
• Falls der Stack nicht benötigt wird, entfernen
• Nach dem Patchen bestehende Administrator-Sessions ungültig machen und Administrator-Passwörter erneuern, wenn Anzeichen für Missbrauch bestehen
• Logs auf unerwartete Administrator-Logins und Anfragen an /api/auth/generate_auth_cookie/ überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence entry www.wordfence.com
• WordPress plugin page JSON API Auth wordpress.org
• PI-Media/json-api parent plugin github.com
• SOCRadar CVE radar entry socradar.io
• Vulners PT-2026-104152 vulners.com
• Vulners NVD entry vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:28.