🔴 CVE-2026-3655: Critical Schwachstelle

„`html

Zusammenfassung

Das WordPress-Plugin „OTP Login With Phone Number, OTP Verification“ (Versionen 1.8.50 bis 1.8.60) weist eine kritische Sicherheitslücke auf, die eine Authentifizierungsumgehung ermöglicht. Angreifer können sich als beliebige Benutzer authentifizieren, einschließlich Administratoren, ohne gültige Zugangsdaten zu besitzen. Die Lücke liegt in der unzureichenden Validierung des Firebase OTP-Verifikationsprozesses.

Betroffene Systeme

Plugin: OTP Login With Phone Number, OTP Verification
Versionen: 1.8.50 bis 1.8.60
CMS: WordPress
CVSS-Score: 9.8 (Critical)
Angriffsvektor: Netzwerk (unauthentifiziert)

Technische Details

Die Schwachstelle existiert in der AJAX-Handler-Funktion lwp_ajax_register. Die Firebase-Verifikation validiert zwar korrekt, dass eine OTP-Sitzung legitim ist, vergleicht die von Firebase zurückgegebene phoneNumber jedoch niemals mit der in den Benutzerdaten gespeicherten Telefonnummer.

Der kritische Fehler liegt in der Funktion idehweb_lwp_activate_through_firebase(): Diese prüft die Firebase-Sitzung, bindet diese aber nicht an die angeforderte Telefonnummer. Ein Angreifer kann seine eigene Firebase-Sitzung verifizieren und gleichzeitig die Telefonnummer eines Opfers in der Anfrage einreichen. Das System akzeptiert diese Kombination und authentifiziert den Angreifer als das Opfer.

Empfohlene Massnahmen

• Sofort-Update: Plugin-Deaktivierung bis zur Verfügbarkeit eines Sicherheits-Patches
• Versionskontrolle: Überprüfung der installierten Plugin-Version
• Audit: Prüfung von WordPress-Logs auf verdächtige OTP-Authentifizierungen
• Passwort-Reset: Erzwungener Passwort-Reset für alle Benutzer
• Monitoring: Aktivierung von Admin-Benachrichtigungen für Benutzerverwaltungsänderungen

Bewertung

Die Schwachstelle ermöglicht vollständige Authentifizierungsumgehung ohne Nutzereingaben. Das maximale Schadenspotential (Admin-Übernahme) bei minimalem Angriffaufwand rechtfertigt die CVSS-Bewertung von 9.8. Derzeit ist kein Patch verfügbar. Nutzer sollten das Plugin unverzüglich deaktivieren.

„`