🔴 CVE-2026-13597: Critical Schwachstelle

„`html

Zusammenfassung

Die Schwachstelle CVE-2026-13597 betrifft das WordPress-Plugin „微信二维码登陆“ (WeChat QR Code Login) in Version 1.3 und älter. Das Plugin weist kritische Sicherheitsmängel bei der Validierung von WeChat-Webhook-Requests auf, die eine unbefugte Authentifizierung als beliebiger Benutzer ermöglichen.

Betroffene Systeme

Das WordPress-Plugin „微信二维码登陆“ (WeChat QR Code Login) bis einschließlich Version 1.3 ist betroffen. Alle WordPress-Installationen mit aktiviertem Plugin sind gefährdet.

Technische Details

Das Plugin implementiert eine fehlerhafte Signaturvalidierung für eingehende WeChat-Webhook-Requests. Der kritische Fehler besteht darin, dass die Signaturprüfung immer erfolgreich durchläuft, unabhängig von der tatsächlichen Authentizität des Requests. Dies ermöglicht es einem Angreifer, folgende Handlungen durchzuführen:

• Beliebige Login-Events für existierende Benutzerkonten zu forgen
• Generierte Login-Codes aus der Webhook-Response auszulesen
• Login-Codes über eine unauthentifizierte AJAX-Action zu realisieren
• Sich ohne Passwort als beliebiger Benutzer, einschließlich Administratoren, anzumelden

Der Angriff erfordert lediglich Netzwerk-Zugriff auf die WordPress-Installation und keine vorherige Authentifizierung. Die fehlende Validierung der Webhook-Signatur ist das primäre Sicherheitsproblem.

Empfohlene Massnahmen

• Sofortige Deaktivierung und Deinstallation des betroffenen Plugins
• Überprüfung der Benutzerkonten auf verdächtige Login-Aktivitäten
• Passwort-Reset für alle Administratoren
• Audit der Zugriffslogs auf unbefugte Authentifizierungen
• Migration zu einer alternativen, sichereren WeChat-Login-Lösung

Bewertung

CVSS 9.1 (Critical): Diese Bewertung ist gerechtfertigt durch die fehlende Authentifizierung, die Möglichkeit der Kompromittierung von Administratorkonten und den einfachen Angriffsvector. Ein Patch ist derzeit nicht verfügbar. Sofortige Maßnahmen sind erforderlich.

„`