„`html
Zusammenfassung
CVE-2026-14545 ist eine kritische Authentifizierungslücke im WordPress-Plugin TrueBooker (vor Version 1.2.4). Die Schwachstelle ermöglicht es unauthentifizierten Angreifern, beliebige Benutzerpasswörter zurückzusetzen, einschließlich Administrator-Konten, und damit vollständige Kontrolle über die WordPress-Installation zu übernehmen. Der CVSS-Score von 9.8 unterstreicht die kritische Natur dieses Sicherheitsproblems.
Betroffene Systeme
Das TrueBooker WordPress-Plugin in allen Versionen vor 1.2.4 ist anfällig. Die Schwachstelle betrifft WordPress-Installationen, auf denen das Plugin aktiv installiert ist. Besonders gefährdet sind Websites mit Administrator-Accounts mit schwachen oder vorhersehbaren Benutzernamen.
Technische Details
Die Anfälligkeit liegt in den Frontend-Account-Handler des Plugins. Das Plugin validiert nicht korrekt, ob der Benutzer, der einen Passwort-Reset anfordert, tatsächlich Eigentümer des Accounts ist. Dies ermöglicht es Angreifern, über HTTP-Requests Passwörter für beliebige Accounts zu ändern, ohne sich authentifizieren zu müssen.
Der Angriffsvektor ist netzwerkbasiert und erfordert keine speziellen Voraussetzungen. Ein Angreifer kann direkt mit der WordPress-Installation kommunizieren und das Passwort jedes Benutzers zurücksetzen. Dies führt zur vollständigen Übernahme des Systems.
Empfohlene Massnahmen
- Sofortige Deaktivierung des TrueBooker-Plugins, bis ein Update zur VerfĂĽgung steht
- Aktualisierung auf Version 1.2.4 oder höher, sobald verfügbar
- Überprüfung der Benutzerkonten auf verdächtige Aktivitäten
- Erzwingung von Passwortänderungen für alle Administratoren
- ĂśberprĂĽfung von Access-Logs auf Passwort-Reset-Anfragen
- Aktivierung von Web Application Firewalls (WAF) zum Blockieren verdächtiger Anfragen
Bewertung
Diese Schwachstelle erfordert sofortige Aufmerksamkeit. Mit einem CVSS von 9.8 und fehlenden Patches stellt sie eine ernsthafte Bedrohung dar. Betroffene Administratoren sollten das Plugin unverzĂĽglich deaktivieren und auf Updates warten.
„`