„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-10830 betrifft das WordPress-Plugin AllCoach in Versionen vor 1.0.2. Eine kritische Authentifizierungsschwachstelle ermöglicht es unauthentifizierten Angreifern, Passwörter beliebiger Benutzerkonten, einschließlich Administrator-Accounts, zurückzusetzen und die WordPress-Installation zu übernehmen.
Betroffene Systeme
- AllCoach WordPress Plugin Versionen < 1.0.2
- WordPress-Installationen mit aktiviertem Plugin
- Systeme mit öffentlich zugänglicher Registrierungsfunktion
Technische Details
Die Vulnerabilität liegt in der öffentlichen Registrierungs-API des Plugins. Der betroffene Endpunkt führt keine ausreichende Validierung durch, um zu überprüfen, ob eine eingereichte E-Mail-Adresse bereits einem existierenden Benutzer zugeordnet ist. Ein Angreifer kann:
- Eine E-Mail-Adresse eines existierenden Benutzers in das Registrierungsformular eingeben
- Das entsprechende Passwort ohne Authentifizierung zurĂĽcksetzen
- Sich mit dem neuen Passwort als beliebiger Benutzer anmelden
Die fehlende Überprüfung der Benutzervorgänge ermöglicht einen unkontrollierten Zugriff auf privilegierte Konten. Besonders kritisch ist die mögliche Übernahme von Administrator-Accounts, was vollständige Kontrolle über die WordPress-Installation ermöglicht.
Empfohlene Massnahmen
- Sofortiges Update: Plugin auf Version 1.0.2 oder höher aktualisieren
- Passwort-Reset: Alle Benutzerpasswörter zurücksetzen, insbesondere Administrator-Accounts
- Audit durchführen: WordPress-Logs auf verdächtige Anmeldeversuche überprüfen
- Registrierung deaktivieren: Bis zum Update öffentliche Registrierung deaktivieren
- Access-Control: Registrierungs-Endpunkt durch WAF-Regeln schĂĽtzen
Bewertung
CVSS Score: 8.8 (High)
Die hohe Schweregrad-Einstufung ist berechtigt. Die Kombination aus fehlender Authentifizierung und direkter Auswirkung auf privilegierte Konten macht diese zu einer kritischen SicherheitslĂĽcke. Da kein Patch verfĂĽgbar ist, mĂĽssen Administratoren unmittelbar handeln.
„`