🟠 CVE-2026-11883: High Schwachstelle

„`html

Zusammenfassung

Die WebAuthn Provider for Two Factor WordPress Plugin-Version vor 2.5.6 weist eine kritische Sicherheitslücke auf. Eine unzureichende Validierung der Second-Factor-Authentifizierungsantwort ermöglicht es Angreifern, die Zwei-Faktor-Authentifizierung (2FA) zu umgehen, sofern das Benutzerpasswort bereits kompromittiert wurde. Die Sicherheitslücke wird mit dem CVSS-Wert 7.2 als „High“ eingestuft.

Betroffene Systeme

Betroffene Versionen: WebAuthn Provider for Two Factor Plugin < 2.5.6

Plattformen: WordPress-Installationen mit aktiviertem Plugin

Angriffsvektor: Netzwerk (lokal authentifizierte Angreifer)

Technische Details

Die Schwachstelle liegt in der unzureichenden Validierung von WebAuthn-Response-Parametern. Das Plugin validiert die Second-Factor-Challenge nicht korrekt gegen die ursprüngliche Anfrage. Ein Angreifer kann durch Versand von manipulierten Request-Objekten die Authentifizierungslogik überwinden.

Die Validierungslücke betrifft spezifisch:

• Unzureichende Überprüfung der Challenge-Authentizität
• Fehlende Origin-Validierung bei WebAuthn-Responses
• Unzureichende Token-Binding-Kontrollen

Voraussetzung für den Angriff ist die Kenntnis des Benutzerpassworts. Der Angriffsaufwand liegt damit in der mittleren Kategorie.

Empfohlene Massnahmen

• Sofortmassnahme: Aktualisierung auf Plugin-Version 2.5.6 oder höher durchführen
• Monitoring: Verdächtige 2FA-Fehlversuche in den Logs überprüfen
• Passwort-Audit: Bei Verdacht auf Kompromittierung Benutzerpasswörter zurücksetzen
• Backup-Methoden: Alternative 2FA-Methoden aktivieren (TOTP, SMS)
• WAF-Regeln: Malformed WebAuthn-Requests blockieren

Bewertung

CVSS v3.1: 7.2 (High)

Komplexität: Mittel (Passwort-Kenntnis erforderlich)

Impact: Authentifizierungs-Bypass, Zugriff auf betroffene Konten

Verfügbarkeit des Patches: Verfügbar in Version 2.5.6+

Workaround: Derzeit nicht vorhanden – Patch ist erforderlich

„`