„`html
CVE-2026-13142: Kritische AuthentifizierungslĂĽcke im WordPress Social Login Plugin
Zusammenfassung
Das WordPress-Plugin „Social Login, Passkeys, Magic Link & Email OTP“ in Versionen vor 1.4.1 weist eine kritische SicherheitslĂĽcke auf. Die passwordlose Email-OTP-Verifizierung ermöglicht es unauthentifizierten Angreifern, durch Brute-Force-Attacken auf kurze numerische Codes Benutzerkonten zu kompromittieren, einschlieĂźlich Administrator-Accounts.
Betroffene Systeme
- WordPress Plugin: „Social Login, Passkeys, Magic Link & Email OTP“
- Betroffene Versionen: < 1.4.1
- Plattform: WordPress und kompatible Installationen
- Angriffsvektor: Netzwerk (unauthentifiziert)
Technische Details
Schwachstellen:
- Fehlende Rate-Limiting: Keine Beschränkung der Verifizierungsversuche pro Email-Adresse
- Ineffektiver Lockout-Mechanismus: Attempt-Lockout funktioniert nicht ordnungsgemäß
- Plaintext-Speicherung: OTP-Codes werden unverschlĂĽsselt in der Datenbank gespeichert
- Kurze Code-Länge: Numerische Codes ermöglichen einfaches Brute-Forcing
Ein Angreifer mit Kenntnis einer registrierten Email-Adresse kann unbegrenzte Verifizierungsversuche durchfĂĽhren, um den OTP-Code zu erraten und sich als legitimer Benutzer anzumelden.
Empfohlene Massnahmen
- Sofort: Plugin deaktivieren oder deinstallieren, sofern eingesetzt
- Update: Plugin auf Version 1.4.1 oder neuer aktualisieren
- Prüfung: Überprüfung der Benutzerkonten auf verdächtige Anmeldungen
- Logs: Analyse der WordPress-Authentifizierungslogs auf Brute-Force-Versuche
- Alternative: Einsatz alternativer, sicherer Authentifizierungsmethoden erwägen
Bewertung
CVSS v3.1 Score: 8.1 (High)
Die Lücke ermöglicht vollständigen Seitenzugriff durch Account-Übernahme und stellt eine kritische Bedrohung dar. Eine sofortige Behebung wird dringend empfohlen.
„`