Zwei nicht authentifizierte Authentifizierungs-Bypässe im Plugin „SAML 2.0 Single Sign On" von Xecurify miniOrange erlauben es Angreifern, sich als beliebiger WordPress-Nutzer anzumelden, einschließlich Administratoren. Das WordPress-Sicherheitsunternehmen Patchstack hat die Schwachstellen offengelegt und meldet bereits laufende Ausnutzungsversuche.
Der technische Kern ist eine fehlerhafte Auswertung der Signaturprüfung. Laut der Beschreibung von CVE-2026-15981 auf CVE.org führt die Funktion mo_saml_validate_signature() eine lax gehandhabte boolesche Prüfung auf den unbearbeiteten dreiwertigen Integer durch, den PHPs openssl_verify() zurückgibt. Der Fehlerrückgabewert -1 wird dadurch als „wahr" gewertet und somit als erfolgreiche Signaturprüfung behandelt.
„Dadurch können nicht authentifizierte Angreifer sich als jeder existierende WordPress-Nutzer anmelden, einschließlich Administratoren, indem sie eine präparierte SAMLResponse mit einer vom Angreifer kontrollierten NameID und einem bewusst fehlerhaften Signaturwert einreichen, der einen OpenSSL-Verarbeitungsfehler auslöst – die Prüfung wird vollständig umgangen, und wp_set_auth_cookie() wird für das anvisierte Konto aufgerufen", heißt es in der Beschreibung.
Es genügt also, eine SAML-Antwort mit einer fehlerhaften Signatur an das Plugin zu senden, damit diese als gültig akzeptiert wird. Patchstack schreibt die Meldung der Schwachstellen dem Sicherheitsteam von DigitalOcean zu. Der Cloud-Infrastrukturanbieter soll die Lücken entdeckt haben, nachdem er einen auffälligen Anmeldeversuch für eine WordPress-Administratorsitzung von außerhalb seines vertrauenswürdigen Netzwerks beobachtet hatte.
„Der Angreifer hatte den Bypass bereits genutzt, um ein WordPress-Admin-Sitzungscookie zu erlangen, kam aber nicht weiter, weil die Operationen im Admin-Bereich selbst hinter dem vertrauenswürdigen Netzwerk beschränkt waren", so Patchstack.
Die beobachteten Scan-Aktivitäten stammen laut Patchstack von mehreren IP-Adressen. Deren Verteilung deute auf opportunistisches Scannen statt auf eine gezielte Kampagne hin: „Wer auch immer dahintersteckt, wirft den Exploit offenbar gegen jede Seite, auf der das Plugin installiert ist, ohne zu prüfen, welche Edition oder Version dahintersteht", erklärte das Unternehmen.
Betreibern betroffener WordPress-Seiten wird geraten, die aktuellen Korrekturen einzuspielen. Besondere Dringlichkeit ergibt sich daraus, dass Proof-of-Concept-Code verfügbar ist, mit dem sich die Schwachstellen verketten lassen, um Administratorrechte zu erlangen und anfällige Seiten vollständig zu übernehmen.