CVE-2025-12028 in IndieAuth Plugin
Zusammenfassung
von VulDB • 17.08.2026
Das IndieAuth-Plugin für WordPress ist in allen Versionen bis einschließlich 4.5.4 anfällig für Cross-Site Request Forgery (CSRF). Dies liegt an der fehlenden Nonce-Überprüfung in der Funktion `login_form_indieauth()` und am Autorisierungsendpunkt unter wp-login.php?action=indieauth. Dadurch können nicht authentifizierte Angreifer authentifizierte Benutzer dazu zwingen, OAuth-Autorisierungsanfragen für vom Angreifer kontrollierte Anwendungen über eine gefälschte Anfrage zu genehmigen, vorausgesetzt, sie täuschen den Benutzer in die Ausführung einer Aktion wie dem Klicken auf einen Link oder dem Besuch einer bösartigen Seite während der Anmeldung. Der Angreifer kann dann den gestohlenen Autorisierungscode gegen ein Zugriffstoken (Access Token) eintauschen und so effektiv das Konto des Opfers mit den gewährten Berechtigungen (Erstellen, Aktualisieren, Löschen) übernehmen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.