„`html

CVE-2026-18468: Authentifizierungsumgehung im Login & Register Forms Plugin

Zusammenfassung

Das WordPress-Plugin „Login & Register Forms“ in Versionen vor 4.0.2 weist eine kritische Sicherheitslücke auf. Die Schwachstelle ermöglicht es Angreifern, Benutzerkonten zu übernehmen, indem sie die Passwort-Reset-Verifizierung manipulieren. Der CVSS-Wert von 8.1 klassifiziert diese Vulnerability als High-Severity-Risiko mit erheblichen Sicherheitsimplikationen.

Betroffene Systeme

Plugin: Login & Register Forms (WordPress)
Betroffene Versionen: Alle Versionen vor 4.0.2
Angriffsvektor: Network (Netzwerkgestützt)
Authentifizierung erforderlich: Nein

Technische Details

Die Vulnerability liegt in der fehlerhaften Implementierung des Password-Reset-Verifizierungsmechanismus. Das Plugin bindet den Verifikationszustand nicht an:

• Das betroffene Benutzerkonto
• Die verifizierungsdurchführende Partei (IP-Adresse, Session)

Stattdessen werden clientseitig steuerbare Werte als Authentifizierungschlüssel verwendet. Ein Angreifer kann diese Werte manipulieren und somit Password-Reset-Anfragen anderer Benutzer abfangen oder autorisieren, ohne diese zu kennen. Dies ermöglicht eine vollständige Kontoubernahme, auch von Administratorkonten.

Empfohlene Massnahmen

• Sofortige Aktualisierung: Aktualisieren Sie das Plugin auf Version 4.0.2 oder höher
• Konto-Überprüfung: Überprüfen Sie Admin-Konten auf unauthorized access
• Log-Analyse: Analysieren Sie Sicherheitslogs auf verdächtige Passwort-Reset-Aktivitäten
• Multi-Factor Authentication: Implementieren Sie zusätzliche Authentifizierungsfaktoren
• Passwort-Reset: Fordern Sie Benutzer auf, Passwörter zurückzusetzen

Bewertung

CVSS-Score: 8.1 (High)
Patch-Status: Verfügbar (Version 4.0.2)
Handlungsdringlichkeit: Kritisch – Sofortige Maßnahmen erforderlich

„`