Kritische Schwachstelle im WordPress-Plugin „Restrict Content“ legt Stripe-Geheimnisse offen

Im WordPress-Plugin Membership Plugin – Restrict Content wurde eine schwerwiegende Sicherheitslücke entdeckt, die alle Versionen bis einschließlich 3.2.16 betrifft. Die unter CVE-2025-14844 geführte Schwachstelle erlaubt aufgrund fehlender Authentifizierungs- und Berechtigungsprüfungen einen unautorisierten Zugriff auf sensible Daten.

Konkret fehlt in der Funktion rcp_stripe_create_setup_intent_for_saved_card eine Capability-Prüfung. Zusätzlich wird ein vom Nutzer kontrollierbarer Schlüssel nicht validiert, wodurch es für nicht authentifizierte Angreifer möglich ist, Stripe SetupIntent client_secret-Werte beliebiger Mitgliedschaften auszulesen. Dies kann zur Offenlegung sensibler Zahlungsinformationen führen und stellt ein hohes Risiko für die Vertraulichkeit dar.

Die Schwachstelle wird mit einem CVSS-Score von 8,2 als hoch eingestuft und ist ohne Benutzerinteraktion sowie ohne vorherige Authentifizierung ausnutzbar. Administratoren von WordPress-Websites, die das Plugin einsetzen, sollten umgehend prüfen, ob ein Sicherheitsupdate verfügbar ist oder das Plugin vorübergehend deaktivieren, um einen möglichen Missbrauch zu verhindern.

Tags :

Related Posts

Facebook-Phishing: Angreifer setzen verstärkt auf Browser-in-the-Browser-Technik

Cyberkriminelle nutzen zunehmend die sogenannte Browser-in-the-Browser-(BitB)-Methode, um Facebook-Nutzer zur Preisgabe ihrer Zugangsdaten zu verleiten. Laut Beobachtungen von Trellix ist diese Technik in den vergangenen sechs Monaten vermehrt in Phishing-Kampagnen gegen Facebook im Einsatz und stellt eine deutliche Weiterentwicklung klassischer Login-Betrugsmaschen dar.

Read More

„Truman Show“-Scam: KI-generierte Scheinwelt tarnt großangelegten Investmentbetrug

Sicherheitsforscher des Harmony Mobile Detection Teams haben eine hochentwickelte Investmentbetrugs-Kampagne mit dem Namen OPCOPRO offengelegt, die vollständig auf KI-gestützter Social Engineering basiert. Die Angreifer nutzen legitime Android- und iOS-Apps aus offiziellen App-Stores sowie künstlich erzeugte WhatsApp- und Telegram-Communities, um Opfer über Wochen hinweg in eine kontrollierte Scheinrealität zu ziehen.

Read More

Node.js veröffentlicht umfangreiche Security-Updates für mehrere Versionen

Das Node.js-Projekt hat am Dienstag, den 13. Januar 2026, neue Sicherheitsupdates für die aktiven Release-Linien 20.x, 22.x, 24.x und 25.x bereitgestellt. Insgesamt beheben die Updates drei Schwachstellen mit hoher, vier mit mittlerer und eine mit niedriger Kritikalität.

Read More