12. März 2026
Rund 30.000 WordPress-Installationen waren durch eine Authentifizierungsumgehung im kostenpflichtigen Plugin „Tutor LMS Pro“ angreifbar. Angreifer konnten sich ohne eigene Zugangsdaten in beliebige Benutzerkonten einloggen – einschließlich Administrator-Accounts. Ein Patch steht seit Ende Januar 2026 bereit.
Schwachstelle ermöglicht Zugriff auf beliebige Konten
Sicherheitsforscher von Wordfence haben Ende Dezember 2025 eine Schwachstelle im Social-Login-Add-on des Plugins identifiziert. Das Problem betrifft alle Versionen bis einschließlich 3.9.5 und wurde der Common Vulnerabilities and Exposures-Datenbank gemeldet.
Der Fehler liegt in der Funktion authenticate() der Klasse TutorPro\SocialLogin\Authentication. Konkret überprüft das Plugin beim Social-Login-Prozess nicht, ob die in der Authentifizierungsanfrage angegebene E-Mail-Adresse mit jener aus dem validierten OAuth-Token übereinstimmt.
Das ermöglicht folgendes Angriffsszenario:
- Angreifer meldet sich mit einem eigenen Social-Media-Konto an und erhält ein gültiges OAuth-Token
- Dieses Token wird kombiniert mit der E-Mail-Adresse eines Opfers in die Authentifizierungsanfrage eingesetzt
- Das Plugin akzeptiert die Anfrage und gewährt Zugriff auf das fremde Konto
- Kennt der Angreifer eine Admin-E-Mail-Adresse, kann er vollständige Kontrolle über die WordPress-Instanz erlangen
Das Plugin bezieht die E-Mail-Adresse aus der Benutzereingabe statt aus der Antwort des OAuth-Anbieters – ein grundlegender Implementierungsfehler.
Tutor LMS Pro <= 3.9.5 – Authentication Bypass via Social Login
CVSS Rating – 9.8 (Critical)
Zeitlicher Ablauf der Offenlegung
- 30. Dezember 2025 – Meldung der Schwachstelle über das Wordfence Bug Bounty Program
- 14. Januar 2026 – Bestätigung des Proof-of-Concept-Exploits durch Wordfence
- 14. Januar 2026 – Vollständige Offenlegung gegenüber dem Hersteller Themeum
- 15. Januar 2026 – Firewall-Regel für Wordfence Premium-, Care- und Response-Nutzer
- 16. Januar 2026 – Hersteller bestätigt die Meldung und beginnt mit der Fehlerkorrektur
- 30. Januar 2026 – Veröffentlichung der bereinigten Version 3.9.6
- 14. Februar 2026 – Firewall-Regel auch für Wordfence-Free-Nutzer verfügbar
Patch und Handlungsempfehlung
Themeum hat das Problem durch eine zusätzliche E-Mail-Prüfung innerhalb der authenticate()-Funktion behoben: Die angegebene E-Mail-Adresse wird nun mit dem Inhalt des validierten OAuth-Tokens abgeglichen, bevor der Zugriff gewährt wird.
Website-Betreiber, die Tutor LMS Pro einsetzen, sollten:
- Das Plugin umgehend auf Version 3.9.6 oder höher aktualisieren
- Prüfen, ob ungewöhnliche Anmeldeaktivitäten in den Zugriffsprotokollen verzeichnet sind
- Sicherstellen, dass Administrator-E-Mail-Adressen nicht öffentlich einsehbar sind
Fachartikel
KI im SAP-Custom-Code: Sicherheitsrisiken erkennen und gezielt absichern
Zero-Day-Exploits 2025: 90 Schwachstellen, mehr Unternehmensziele, KI als neuer Faktor
Brainworm: Wenn KI-Agenten durch natürliche Sprache zur Waffe werden
Mozilla und Anthropic: Gemeinsame KI-Analyse macht Firefox sicherer
RC4-Deaktivierung – so müssen Sie jetzt handeln
Studien
Drucksicherheit bleibt in vielen KMU ein vernachlässigter Bereich
Sieben Regierungen einigen sich auf 6G-Sicherheitsrahmen
Lieferkettenkollaps und Internetausfall: Unternehmen rechnen mit dem Unwahrscheinlichen
KI als Werkzeug für schnelle, kostengünstige Cyberangriffe
KI beschleunigt Cyberangriffe: IBM X-Force warnt vor wachsenden Schwachstellen in Unternehmen
Whitepaper
Cloudflare Threat Report 2026: Ransomware beginnt mit dem Login – KI und Botnetze treiben die Industrialisierung von Cyberangriffen
EBA-Folgebericht: Fortschritte bei IKT-Risikoaufsicht unter DORA – weitere Harmonisierung nötig
Böswillige KI-Nutzung erkennen und verhindern: Anthropics neuer Bedrohungsbericht mit Fallstudien
Third Party Risk Management – auch das Procurement benötigt technische Unterstützung
EU-Toolbox für IKT-Lieferkettensicherheit: Gemeinsamer Rahmen zur Risikominderung
Hamsterrad-Rebell
Sicherer Remote-Zugriff (SRA) für Operational Technology (OT) und industrielle Steuerungs- und Produktionssysteme (ICS) – Teil 2
Incident Response Retainer – worauf sollte man achten?
KI‑basierte E‑Mail‑Angriffe: Einfach gestartet, kaum zu stoppen
NIS2: „Zum Glück gezwungen“ – mit OKR-basiertem Vorgehen zum nachhaltigen Erfolg
