Die erste Schwachstelle, CVE-2026-61979, wurzelt darin, dass das miniOrange-Plugin den Signaturalgorithmus aus der eingehenden SAML-Antwort übernimmt, statt den konfigurierten Algorithmus durchzusetzen. Ein Angreifer kann so HMAC-SHA1 wählen, woraufhin das Plugin den öffentlichen RSA-Schlüssel des Identity Providers als gemeinsames Geheimnis behandelt. Da dieser Schlüssel öffentlich bekannt ist, lässt sich eine Signatur fälschen, die das Plugin als echt akzeptiert.
Die zweite Lücke, CVE-2026-15981, sorgt dafür, dass ein Verifikationsfehler von OpenSSL (Rückgabewert -1) als erfolgreiche Prüfung gewertet wird. Dadurch passieren auch fehlerhaft aufgebaute Signaturen die Validierung. In Kombination ergibt sich eine vollständige Umgehung der Anmeldung mit Administratorrechten.
Patchstack berichtet, dass DigitalOcean am 16. August eine auffällige WordPress-Administratorsitzung blockierte, die von außerhalb des vertrauenswürdigen Netzwerks stammte. Die anschließende Untersuchung ergab, dass Angreifer die beiden Schwachstellen verkettet hatten, um über die Standard-Edition des Plugins in Version 16.1.9 ein Sitzungs-Cookie mit Administratorrechten zu erlangen.
Nach Daten von Patchstack laufen aktuell Ausnutzungsversuche sowie opportunistisches Scannen, ausgehend von sechs IP-Adressen in Europa, Afrika und den Vereinigten Staaten. Zusätzlich kursiert öffentlich ein Proof-of-Concept-Exploit, der auf die kostenlose Edition abzielt — das Tempo der Angriffe kann sich damit jederzeit erhöhen.
Besonders heikel ist die Update-Situation bei den kostenpflichtigen Ausgaben: Patchstack weist darauf hin, dass das WordPress-Dashboard für die Bezahlversionen keine Aktualisierungshinweise anzeigt. Betreiber müssen die gepatchte Fassung daher manuell einspielen. Dass der Hersteller das Risiko nicht für alle Editionen kommuniziert hat, führte laut Bericht dazu, dass zahlreiche Seiten mit den Bezahlvarianten gar nicht erst reagierten.