Sicherheitslücken im miniOrange SAML Plugin ermöglichen Übernahme von WordPress-Administratorkonten

Angreifer nutzen aktiv zwei Authentifizierungs-Bypass-Schwachstellen im Xecurify miniOrange SAML 2.0 Single Sign On Plugin für WordPress aus. Dieses Plugin ermöglicht es Website-Besuchern, sich mit einem Satz Anmeldedaten von einem externen Identitätsanbieter anzumelden – eine Funktion, die als Single Sign On (SSO) bekannt ist. Die Schwachstellen können es einer nicht angemeldeten Person ermöglichen, sich als beliebiger vorhandener WordPress-Benutzer anzumelden, einschließlich Administratoren. Das Sicherheitsunternehmen Patchstack hat die Probleme offengelegt und das DigitalOcean-Sicherheitsteam für die Meldung verantwortlich gemacht.

Der erste Fehler, verfolgt als CVE-2026-61979, hat einen CVSS-Schweregrad von 8.1. Es handelt sich um ein nicht authentifiziertes Privilegieneskalationsproblem, das durch Verwirrung bei der Überprüfung digitaler Signaturen durch das Plugin verursacht wird. Der Fix wurde in Version 17.0.5 für die Standard Edition veröffentlicht. Der zweite Fehler, verfolgt als CVE-2026-15981, wird auf der CVSS-Skala mit 9.8 bewertet, was ihn kritisch macht. Er entsteht dadurch, dass das Plugin fehlerhaft formatierte Signaturen als gültig akzeptiert. Der Fix für dieses zweite Problem erschien in Version 17.0.6 für die Standard Edition.

Der schwerwiegendere Fehler, CVE-2026-15981, funktioniert, weil eine Funktion im Plugin namens mo_saml_validate_signature() eine lose boolesche Prüfung des rohen Ergebnisses der PHP-Funktion openssl_verify() durchführt. Diese zugrunde liegende Funktion gibt normalerweise 1 zurück, wenn eine Signatur gültig ist, 0, wenn sie ungültig ist, und -1, wenn während der Verarbeitung ein Fehler auftritt. Die Prüfung des Plugins behandelt den Fehlerwert -1 so, als ob er wahr bedeuten würde, sodass eine fehlgeschlagene Überprüfung fälschlicherweise als Erfolg akzeptiert wird. Infolgedessen kann ein Angreifer eine speziell gestaltete SAMLResponse senden, die eine NameID enthält, die er kontrolliert, und eine absichtlich fehlerhaft formatierte Signatur, die einen OpenSSL-Fehler auslöst. Das Plugin ruft dann wp_set_auth_cookie() für das Zielkonto auf, wodurch der Angreifer ohne Passwort als dieser Benutzer angemeldet wird.

Patchstack erklärte, dass ein Angreifer eine SAML-Antwort mit einer fehlerhaft formatierten Signatur erstellen und an das Plugin senden kann, wodurch das Plugin sie als gültig behandelt. Das WordPress-Sicherheitsunternehmen sagte, das DigitalOcean-Team habe die Schwachstellen entdeckt, nachdem es einen anormalen Versuch einer WordPress-Administratorsitzung bemerkt hatte, der von außerhalb des vertrauenswürdigen Netzwerks des Cloud-Anbieters kam. Der Angreifer hatte den Bypass bereits genutzt, um ein Admin-Sitzungscookie zu erhalten, wurde jedoch gestoppt, da die Admin-Panel-Operationen hinter diesem vertrauenswürdigen Netzwerk eingeschränkt waren.

Scan-Aktivitäten wurden von sechs IP-Adressen aufgezeichnet: 207.211.214.41, 79.127.224.14, 102.91.71.83, 162.243.116.148, 84.201.6.54 und 64.225.25.188. Patchstack sagte, die Verbreitung deute auf opportunistisches Scannen hin und nicht auf eine gezielte Kampagne, und der Betreiber scheine den Exploit auf jede Website mit installiertem Plugin zu werfen, ohne zu prüfen, welche Edition oder Version vorhanden ist. Ein öffentlicher Proof of Concept ist ebenfalls verfügbar, und Angreifer können die beiden Fehler verketten, um Administratorrechte zu erlangen und anfällige Websites zu übernehmen.

WordPress-Websitebesitzer, die dieses Plugin verwenden, sollten so schnell wie möglich auf die neueste Version, idealerweise 17.0.6 oder höher, aktualisieren. Da die Fehler vollen Admin-Zugriff ermöglichen, kann ein erfolgreicher Exploit dazu führen, dass der Angreifer Malware installiert, versteckte Admin-Konten erstellt oder die Website verunstaltet. Für Websitebesitzer, die diese Wartung lieber auslagern möchten, können verwaltete WordPress-Hosting-Dienste wie AEU Hosting helfen, WordPress und seine Plugins aktuell zu halten und zu überwachen, wodurch das Zeitfenster verringert wird, in dem ein anfälliges Plugin exponiert bleibt.