🟠 CVE-2026-14861: High Schwachstelle

„`html

Zusammenfassung

Das WordPress-Plugin „User Verification by PickPlugins“ in der Version 2.0.47 und älter weist eine kritische Autorisierungslücke auf. Die Schwachstelle ermöglicht es unauthentifizierten Angreifern, die E-Mail-Verifizierungsfunktion zu missbrauchen und damit Benutzerkonten, einschließlich Administratorkonten, zu sperren oder deren Zugriff zu blockieren.

Betroffene Systeme

• WordPress-Installation mit Plugin „User Verification by PickPlugins“
• Versionen: bis einschließlich 2.0.47
• Betroffen sind Installationen unabhängig von Betriebssystem oder Hosting-Umgebung

Technische Details

Die Schwachstelle liegt in der Funktion zur Anforderung von Verifizierungs-E-Mails. Das Plugin führt keine ausreichende Autorisierungsprüfung durch, wenn ein Benutzer eine erneute Zusendung einer Verifizierungs-E-Mail anfordert. Folgende Fehler sind identifiziert worden:

• Keine Validierung, ob der Anfragende berechtigt ist, auf das angegebene Benutzerkonto zuzugreifen
• Das Sicherheits-Token ist nicht an das Benutzerkonto gebunden
• Fehlende CSRF-Schutzmaßnahmen oder Session-Validierung

Ein Angreifer kann diese Lücke ausnutzen, um gezielt Administratorkonten zu sperren und dadurch den WordPress-Betrieb zu beeinträchtigen.

Empfohlene Maßnahmen

• Sofortige Aktualisierung: Warten Sie auf ein Sicherheits-Patch vom Plugin-Entwickler PickPlugins
• Temporäre Deaktivierung: Deaktivieren und deinstallieren Sie das Plugin bis ein Update verfügbar ist
• Monitoring: Prüfen Sie Logs auf verdächtige E-Mail-Verifizierungsanforderungen
• Zugriffsbeschränkung: Beschränken Sie den Zugriff auf die Plugin-Funktionen durch Web Application Firewall-Regeln

Bewertung

Mit einem CVSS-Score von 7.5 ist diese Schwachstelle als „High“ eingestuft. Die fehlende Autorisierungsprüfung für kritische Funktionen stellt ein erhebliches Sicherheitsrisiko dar. Eine Ausnutzung erfordert keine Authentifizierung und kann remote durchgeführt werden.

„`