🟠 CVE-2026-12255: High Schwachstelle

„`html

Zusammenfassung

Die MainWP Child WordPress Plugin Version vor 6.1.2 weist eine kritische Authentifizierungslücke auf. Die Schwachstelle ermöglicht es unauthentifizierten Angreifern, gültige Authentifizierungssitzungen zu etablieren, wenn die Passwortauthentifizierung für das Zielkonto deaktiviert wurde. Dies betrifft insbesondere Administratorkonten und stellt ein erhebliches Sicherheitsrisiko dar.

Betroffene Systeme

Das MainWP Child WordPress Plugin in Versionen vor 6.1.2 ist anfällig. Die Schwachstelle betrifft WordPress-Installationen, die dieses Plugin verwenden und bei denen die Passwortauthentifizierung für mindestens ein Benutzerkonto deaktiviert wurde. Besonders kritisch ist die Situation bei Administratorkonten mit deaktivierter Passwortauthentifizierung.

Technische Details

Die Sicherheitslücke liegt im Site-Registrierungs-Request-Handler des Plugins. Der Handler überprüft die Identität des Anforderers nicht ausreichend. Ein Angreifer kann eine Registrierungsanfrage mit dem Benutzernamen eines existierenden Kontos senden. Falls die Passwortauthentifizierung für dieses Konto deaktiviert ist, akzeptiert der Handler die Anfrage ohne weitere Verifizierung und erstellt eine gültige Authentifizierungssitzung. Dies ermöglicht vollständigen Zugriff auf das kompromittierte Konto.

Empfohlene Massnahmen

• Sofortiges Update des MainWP Child Plugins auf Version 6.1.2 oder neuer durchführen
• Passwortauthentifizierung für alle WordPress-Benutzerkonten aktivieren
• Authentifizierungslogs überprüfen auf verdächtige Registrierungsaktivitäten
• Alle aktiven Benutzersitzungen überprüfen und bei Bedarf zurücksetzen
• Zwei-Faktor-Authentifizierung implementieren für erhöhte Sicherheit
• Regelmäßige Sicherheitsaudits durchführen

Bewertung

Mit einem CVSS-Score von 8.1 (High) und dem Angriffsvektor Network handelt es sich um eine ernstzunehmende Sicherheitslücke. Die fehlende Authentifizierungsverifizierung ermöglicht unauthentifizierte Angreifer direkt von außen, administrativen Zugriff zu erlangen. Die Verfügbarkeit eines Patches ist derzeit nicht dokumentiert. Eine unverzügliche Aktualisierung ist dringend erforderlich.

„`