🔴 CVE-2026-15980: Critical Schwachstelle

„`html

Zusammenfassung

Das MyHome Core Plugin für WordPress weist eine kritische Authentication-Bypass-Schwachstelle auf, die es unauthentifizierten Angreifern ermöglicht, gültige Authentifizierungscookies für beliebige Benutzerkonten einschließlich Administratorkonten zu generieren. Die Vulnerability betrifft alle Versionen bis einschließlich 4.4.5 und wird durch fehlende Autorisierungsprüfungen und mangelhafte Token-Validierung verursacht.

Betroffene Systeme

Betroffen sind WordPress-Installationen mit folgenden Bedingungen:

• MyHome Core Plugin Version ≤ 4.4.5
• MyHome Theme im Legacy/WPBakery-Modus konfiguriert
• Frontend-Registrierung aktiviert
• Bestätigungs-E-Mail-Funktion aktiviert
• Zielbenutzer ohne gesetztes myhome_agent_confirmed Meta-Attribut

Technische Details

Die Schwachstelle existiert in zwei kritischen Funktionen:

send_link() AJAX-Handler: Diese Funktion führt keine Authentifizierungsprüfung durch und ermöglicht es unauthentifizierten Benutzern, Aktivierungstoken zu generieren. Die fehlende Autorisierung erlaubt die uneingeschränkte Anforderung von Aktivierungslinks.

activate() Funktion: Die Funktion validiert eingehende Tokens unzureichend. Sie überprüft nicht ordnungsgemäß, ob das myhome_agent_confirmed Meta-Attribut bereits gesetzt ist. Dies ermöglicht Angreifern, mit einem generierten Token ein Administratorkonto zu übernehmen.

Angriffsablauf: Ein Angreifer sendet eine AJAX-Anfrage an send_link(), um ein Token für ein Administratorkonto zu erhalten. Dieses Token wird dann an die activate() Funktion übergeben, die es ohne angemessene Validierung akzeptiert und ein gültiges Authentifizierungscookie ausgibt.

Empfohlene Massnahmen

• MyHome Core Plugin sofort deaktivieren und deinstallieren, bis ein Patch verfügbar ist
• Benutzerkonten mit Bestätigungsstatus überprüfen und verdächtige Aktivitäten auditieren
• WordPress-Sicherheitslogs analysieren auf unbefugte Authentifizierungen
• Starke Passwörter und Zwei-Faktor-Authentifizierung für Administratorkonten erzwingen
• Regelmäßig auf aktualisierte Plugin-Versionen prüfen

Bewertung

CVSS Score: 9.8 (Critical) – Hohe Netzwerk-Ausnutzbarkeit ohne Authentifizierung erforderlich. Vollständiger Kontrollverlust möglich.

„`