„`html
Zusammenfassung
Das Wishlist Member Plugin für WordPress weist eine kritische Account-Takeover-Anfälligkeit auf (CVE-2026-12949, CVSS 9.8). Unauthentifizierte Angreifer können beliebige WordPress-Konten, einschließlich Administrator-Accounts, übernehmen. Die Schwachstelle existiert in Versionen bis einschließlich 3.34.1 und basiert auf unzureichender Validierung von Benutzeridentifiern während des Registrierungsprozesses.
Betroffene Systeme
Betroffen sind Installationen mit Wishlist Member Plugin Version 3.34.1 und älter. Das Plugin wird auf WordPress-Websites mit Membership-Funktionalität eingesetzt. Besonders kritisch sind Installationen mit Administrator-Konten, da diese vollständig übernommen werden können.
Technische Details
Die Funktion wpm_register() validiert Registrierungs-Cookies nur gegen den GET-Parameter „reg“, akzeptiert aber die POST-Parameter „mergewith“ und „wpm_id“ ohne ausreichende Verifikation. Die mergewith-Parameter enthalten eine beliebige Benutzer-ID, die nicht auf Zugehörigkeit zur aktuellen Registrierungstransaktion ĂĽberprĂĽft wird.
Ein Angreifer kann durch Übermittlung einer existierenden Benutzer-ID folgende Attribute des Zielkontos überschreiben: Benutzername, Passwort, E-Mail-Adresse, Vor- und Nachname. Die wp_update_user()-Funktion wird direkt mit attacker-kontrollierten Werten aufgerufen, während Benachrichtigungsemails zum Passwort- und E-Mail-Wechsel explizit unterdrückt werden.
Bei ungültiger membership_level werden keine Role-Schlüssel hinzugefügt, wodurch die bestehenden Berechtigungen (einschließlich Admin-Rollen) erhalten bleiben. Dies führt zu vollständiger Privilege Escalation.
Empfohlene Massnahmen
- Plugin umgehend deaktivieren und deinstallieren
- Alle WordPress-Passwörter zurücksetzen, insbesondere Admin-Konten
- Benutzerkonten auf unautorisierte Ă„nderungen prĂĽfen
- Server-Logs auf Exploit-Versuche analysieren
- Alternative Membership-Lösungen evaluieren
- Auf offizielle Updates warten
Bewertung
Kritischer Schweregrad (CVSS 9.8). Netzwerkgestützte Ausnutzung ohne Authentifizierung möglich. Unmittelbare Maßnahmen erforderlich. Aktuell ist kein Patch verfügbar.
„`