Die Schwachstelle entstand durch ein gravierendes Design-Versäumnis in der Plugin-Architektur. WP Maps Pro bietet Administratoren eine Funktion zur Fernunterstützung an – das Plugin verfügt über eine temporäre Zugriffsmöglichkeit, die Entwickler für Debugging- und Troubleshooting-Arbeiten nutzen können. Dieses Feature sollte dem Vendor ermöglichen, sich zur Kundenbetreuung auf Kundenwebsites einzuloggen.
Das Kernproblem liegt in der Sicherheitsimplementierung dieser Funktion. Eine AJAX-Callback-Funktion, die für die Generierung des temporären Zugriffs verantwortlich ist, ist nur durch einen Nonce geschützt – ein einmalig gültiger Sicherheits-Token. Dieser Nonce wird jedoch auf jeder Frontend-Seite eingebettet und ist damit für jeden unauthentifizierten Benutzer sichtbar und auswertbar. Schlimmer noch: Das Plugin führt keine Capability-Checks durch, also keine Überprüfung der Benutzerberechtigungen.
Dies führt zu einer verheerenden Sicherheitskette: Ein Angreifer kann die AJAX-Action mit dem Parameter “check_temp” auf “false” setzen und damit einen neuen WordPress-Benutzer mit Administrator-Rolle erstellen. Das System generiert einen zufälligen Benutzernamen, verwendet eine hardcodierte E-Mail-Adresse und erzeugt anschließend eine Magic-Login-URL – einen speziellen Link, der eine Authentifizierung ohne Passwort oder weitere Verifizierungsschritte ermöglicht.
Mit diesem Zugang haben Angreifer vollständige Administrator-Kontrolle. Sie können beliebige Plugins installieren, Theme-Dateien modifizieren, Backdoors einbauen, Daten exfiltrieren oder Web-Shells für persistente Zugriffe deployen. Für deutsche Unternehmen bedeutet dies eine potenzielle Verletzung der DSGVO mit Meldepflichten an Datenschutzbehörden und Bußgelder bis zu 4 Prozent des Jahresumsatzes.
Die Entwickler haben in Version 6.1.1 reagiert und einen Capability-Check hinzugefügt, der den Zugriff nun auf authentifizierte Administratoren beschränkt. Alle Betreiber von WordPress-Seiten mit WP Maps Pro sollten sofort updaten. Defiant empfiehlt zudem, Zugriffsprotokollen zu überprüfen und verdächtige Administrator-Accounts zu löschen.