„`html

CVE-2026-19714: Kritische Authentifizierungslücke im Simple JWT Login WordPress Plugin

Zusammenfassung

Das WordPress-Plugin „Simple JWT Login“ in Versionen vor 3.6.8 weist eine kritische Authentifizierungslücke auf. Die Verwundbarkeit ermöglicht es unauthentifizierten Angreifern, sich als beliebige WordPress-Benutzer auszugeben, einschließlich Administratoren. Dies ist möglich, da das Plugin die Zielgruppe (Audience) von Google-Identitäts-Token nicht validiert. Der CVSS-Score von 9.1 klassifiziert diese Lücke als kritisch.

Betroffene Systeme

Plugin: Simple JWT Login (WordPress)
Betroffene Versionen: Alle Versionen vor 3.6.8
Aktivierungsfaktor: Google Sign-In muss aktiviert sein
Auswirkung: Alle WordPress-Installationen mit dem Plugin und aktivierter Google-Authentifizierung sind betroffen

Technische Details

Die Verwundbarkeit entsteht durch unzureichende Validierung von JWT-Token, die vom Google-Identitätsdienst bereitgestellt werden. Das Plugin überprüft nicht, ob das empfangene Token für die eigene Anwendung (Audience-Claim) ausgestellt wurde. Ein Angreifer kann ein gültiges Google-Token abfangen oder generieren und es zur Authentifizierung gegen die WordPress-Installation verwenden.

Der fehlende Audience-Check ermöglicht es, Token für beliebige E-Mail-Adressen zu missbrauchen. Dies führt zu unkontrolliertem Zugriff auf administrative Funktionen.

Empfohlene Massnahmen

• Sofortige Aktion: Deaktivieren Sie Google Sign-In bis zur Verfügbarkeit eines Patches
• Update: Führen Sie ein Update auf Version 3.6.8 oder höher durch, sobald verfügbar
• Monitoring: Überprüfen Sie Zugriffslogs auf verdächtige Authentifizierungen
• Alternative: Nutzen Sie Alternative Authentifizierungsmethoden

Bewertung

CVSS Score: 9.1 (Kritisch)
Angriffsvektor: Network (Netzwerk)
Authentifizierung erforderlich: Nein
Patchverfügbarkeit: Noch nicht verfügbar

Die fehlende Patchverfügbarkeit stellt ein erhebliches Risiko dar. Betroffene Administratoren sollten sofort handeln.

„`