„`html

CVE-2026-77008: Authentifizierungslücke im HEL Online Classroom Plugin

Zusammenfassung

Das WordPress-Plugin „HEL Online Classroom: AI-powered Online Classrooms“ in den Versionen bis einschließlich 1.0.3 weist eine kritische Authentifizierungslücke auf. Die fehlende Überprüfung von Benutzerrechten beim Speichern von Plugin-Einstellungen ermöglicht es unauthentifizierten Angreifern, Konfigurationsparameter zu manipulieren und Classroom-Infrastrukturen umzuleiten.

Betroffene Systeme

• HEL Online Classroom: AI-powered Online Classrooms WordPress Plugin Version 1.0.3 und älter
• WordPress-Installationen mit aktiviertem Plugin
• Alle Betriebssysteme und Plattformen (netzwerkbasierte Schwachstelle)

Technische Details

Die Sicherheitslücke liegt in der Verarbeitung von Plugin-Einstellungen. Der betroffene Code führt keine Authentifizierungs- oder Autorisierungsprüfungen durch, bevor Konfigurationswerte aktualisiert werden. Dies ermöglicht:

• Unbefugte Änderung von Classroom-URLs
• Manipulation des gemeinsamen Secrets zur Session-Signierung
• Umleitung auf attacker-kontrollierte Infrastructure
• Potenzielle Session-Hijacking und Datenabfang

Angriffsvektor: Netzwerkbasiert, keine lokale Präsenz erforderlich

Empfohlene Massnahmen

• Sofort: Plugin deaktivieren und deinstallieren bis Patch verfügbar ist
• WordPress-Umgebung auf verdächtige Einstellungsänderungen überprüfen
• WAF-Regeln implementieren zur Filterung verdächtiger API-Anfragen
• Logs analysieren auf unbefugte Zugriffe auf Admin-Funktionen
• Auf Sicherheits-Updates des Plugin-Entwicklers warten

Bewertung

CVSS Score: 6.5 (Medium)

Patchstatus: Kein offizieller Patch verfügbar

Diese Schwachstelle hat hohe praktische Auswirkungen auf die Integrität und Verfügbarkeit von Online-Classroom-Infrastrukturen.

„`