🟡 CVE-2026-18960: Medium Schwachstelle

„`html

Zusammenfassung

Die Schwachstelle CVE-2026-18960 betrifft das WordPress-Plugin „Block User Account“ in Versionen vor 2.0.1. Das Plugin implementiert eine unvollständige Authentifizierungsprüfung, die es blockierten Benutzern ermöglicht, über anwendungsspezifische Passwörter (Application Passwords) Zugriff auf die REST API zu behalten. Dies umgeht die Blockierungsmaßnahme und gewährt fortgesetzten Datenzugriff mit vollständigen Rollenrechten.

Betroffene Systeme

Das Plugin „Block User Account“ in allen Versionen vor 2.0.1 ist betroffen. Die Schwachstelle manifestiert sich auf WordPress-Installationen, auf denen dieses Plugin aktiv ist und Benutzer mit vorab generierten Application Passwords verfügen. Besonders anfällig sind Systeme mit technischen Integrationen oder API-basierten Anwendungen, die Application Passwords verwenden.

Technische Details

Das Plugin implementiert die Benutzerblockierung nicht konsistent über alle Authentifizierungspfade. Während die Standard-WordPress-Authentifizierung korrekt überprüft wird, validiert das Plugin die Blockierungsrichtlinie nicht beim REST-API-Zugriff mittels Application Passwords. Ein blockierter Benutzer kann sich folglich nicht über das Dashboard anmelden, behält aber volle REST-API-Zugriffsrechte durch ein vor der Blockierung erstelltes Passwort.

Dies ermöglicht:

• Lesen aller über die REST API verfügbaren Inhalte
• Änderung von Beiträgen und Seiten
• Manipulation von Benutzermetadaten
• Potenzielle Plugin- oder Theme-Konfigurationsänderungen je nach Rollenrechten

Empfohlene Massnahmen

Sofortmaßnahmen:

• Plugin auf Version 2.0.1 oder höher aktualisieren
• Bestehende Application Passwords blockierter Benutzer überprüfen und regenerieren
• REST-API-Zugriff blockierter Konten in den Plugin-Einstellungen deaktivieren

Prävention:

• Regelmäßige Plugin-Updates durchführen
• Application Passwords regelmäßig rotieren
• REST-API-Aktivitäten monitoren

Bewertung

Mit einem CVSS-Score von 5.4 wird diese Schwachstelle als mittelschwer eingestuft. Das Risiko ist moderat, da ein Netzwerkzugriff erforderlich ist und bereits blockierte Konten betroffen sind. Dennoch erfordert sie zeitnahe Aufmerksamkeit, besonders in Umgebungen mit privilegierten blockierten Benutzern oder sensiblen API-Integrationen.

„`