CVE-2026-92885

Beschreibung

Das Qode-Mitgliedschafts-Plugin für WordPress ist anfällig für den Authentifizierungs-Bypass, der in allen Versionen bis einschließlich 2.0.6.2 über die aJAX-Aktion qode membership check facebook user zur Kontoübernahme führt. Dies ist auf einen typografischen Fehler im Facebook OAuth-Token-Verifizierungsschutz innerhalb der Funktion qode membership login user from social network zurückzuführen - die Schutzbedingung testet eine undefinierte Variable ($check social useqoder anstelle von $check social user), wodurch empty() immer true zurückgibt und den Graph API-Token-Verifizierungszweig tot darstellt, so dass wp set auth cookie() ohne Berechtigungsnachweis oder Token-Validierung erreichbar ist. Dies ermöglicht es nicht authentifizierten Angreifern, sich wie ein bestehendes WordPress-Konto anzumelden - einschließlich Konten auf Administratorebene -, indem sie einen bekannten oder aufgezählten Administrator-Login-Namen (anstatt einer E-Mail-Adresse) im Response[email]-Parameter angeben, den der Fallback-Pfad in get user by('login', $email) für das übereinstimmende Konto auflöst. Die Nutzung erfordert das Sammeln einer gültigen qode validate facebook login nonce, aber diese Nonce wird auf jeder öffentlichen Front-End-Seite mit dem [qode user login] oder [qode user register] Shortcode dargestellt und ist daher ohne vorherige Authentifizierung erhältlich.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.