„`html
Zusammenfassung
Die MStore API WordPress-Erweiterung in Versionen vor 4.21.0 enthält eine kritische Sicherheitslücke in der Authentifizierungsmechanismus für die telefonbasierte Anmeldung. Die Schwachstelle ermöglicht es Angreifern, Authentifizierungs-Token zu fälschen und damit Benutzerkonten zu übernehmen, einschließlich Administrator-Accounts.
Betroffene Systeme
MStore API WordPress Plugin Versionen vor 4.21.0. Die Lücke betrifft alle Installationen, die das Plugin mit aktiviertem telefonbasiertem Login-Mechanismus nutzen. Administrator- und Standard-Benutzerkonten sind gleichermaßen gefährdet.
Technische Details
Der Kern des Problems liegt in der unzureichenden Verifizierung von kryptographischen Signaturen bei Authentifizierungs-Token. Der Login-Prozess vertraut auf Token-basierte Authentifizierung mittels Telefonnummer, ohne diese ausreichend zu validieren.
Ein Angreifer benötigt nur die bekannte Telefonnummer eines registrierten Benutzers, um ein gültiges Token zu generieren. Die fehlende oder unzureichend implementierte Signatur-Verifikation ermöglicht es, Token unerkannt zu fälschen. Dies umgeht die bestehenden Sicherheitsmechanismen vollständig und gewährt unbefugten Zugriff auf das Zielkonto.
Der Angriffsvektor ist netzwerkgestützt und erfordert keine lokale Präsenz oder zusätzliche Authentifizierungsfaktoren.
Empfohlene Massnahmen
- Sofortiges Update: Upgrade auf MStore API Version 4.21.0 oder höher durchführen
- Interim-Maßnahmen: Plugin deaktivieren, falls Update nicht sofort möglich ist
- Zugriffsschutz: Telefonbasiertes Login temporär deaktivieren
- Audit: Logs auf verdächtige Anmeldungen prüfen
- Passwort-Reset: Administrator-Konten überprüfen und Passwörter zurücksetzen
Bewertung
CVSS Score: 8.1 (High)
Diese Schwachstelle wird als kritisch eingestuft, da sie vollständigen Kontozugriff mit minimalen Anforderungen ermöglicht. Die fehlende Authentifizierungsvalidierung hat schwerwiegende Konsequenzen für betroffene Systeme und erfordert sofortiges Handeln.
„`