„`html

CVE-2026-14557: Authentication Bypass in SoftMarket WordPress Plugin

Zusammenfassung

Das SoftMarket — Digital Marketplace WordPress Plugin bis Version 1.0.0 weist einen kritischen Authentication-Bypass auf. Eine unzureichende Validierung von Authentifizierungstoken im Email-Verification-Flow ermöglicht es unauthentifizierten Angreifern, gültige Sitzungen als beliebige verifizierte Benutzer zu erlangen. Erforderlich ist lediglich die Benutzer-ID des Zielkontos.

Betroffene Systeme

• SoftMarket — Digital Marketplace WordPress Plugin
• Versionen: bis 1.0.0
• Plattform: WordPress
• Angriffsvektor: Netzwerk (CVSS:3.1/AV:N)

Technische Details

Die Schwachstelle liegt in der Email-Verifizierung des Plugins. Der Token-Validierungsmechanismus wurde unvollständig implementiert, wodurch eine spezifische Codebranch nicht ordnungsgemäß überprüft wird. Angreifer können diese Lücke ausnutzen, indem sie:

• Eine gültige Benutzer-ID bereitstellen
• Den fehlerhaften Authentifizierungsfluss triggen
• Eine aktive Sitzung des Zielbenutzers erlangen

Dies ermöglicht vollständigen Zugriff auf Benutzerkonten ohne Kenntnisnahme von Passwörtern oder Authentifizierungsmechanismen.

Empfohlene Massnahmen

• Sofortig: Das SoftMarket Plugin deinstallieren oder deaktivieren
• WordPress-Installation überprüfen auf verdächtige Aktivitäten
• Alle Benutzerkonten auf unbefugte Zugriffe prüfen
• Passwörter aller Administratoren zurücksetzen
• Session-Logs analysieren und Sicherheitsprotokollierung aktivieren
• Auf Plugin-Update oder Sicherheitspatch warten
• Web Application Firewall (WAF) konfigurieren

Bewertung

CVSS Score: 9.1 (Critical)

Schweregrad: Kritisch

Patchstatus: Kein Patch verfügbar

Diese Vulnerabilität stellt eine unmittelbare Bedrohung für alle betroffenen Installationen dar. Aufgrund der fehlenden Authentifizierung und des einfachen Angriffsaufbaus ist eine sofortige Mitigation erforderlich.

„`