WordPress (WPScan) Seite 3

Das WordPress-Plugin SoftMarket — Digital Marketplace prüft laut NVD bis Version 1.0.0 in einem Zweig des E-Mail-Verifizierungsablaufs den Authentifizierungs-Token nicht korrekt. Dadurch können nicht authentifizierte Angreifer diesen Ablauf missbräuchlich ausnutzen. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Das WordPress-Plugin „SMS Alert – SMS & OTP for WooCommerce, Order Notifications & Abandoned Cart Recovery" ist laut Quellbeschreibung für eine Rechteausweitung per Account-Übernahme anfällig. Betroffen sind alle Versionen bis einschliesslich der in der Quelle genannten Fassung. Die Schwachstelle ist ohne Authentifizierung über das Netzwerk ausnutzbar. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Das WordPress-Plugin TrueBooker ist bis einschliesslich Version 1.2.6 laut NVD anfällig für Account Takeover. Ursache ist der AJAX-Handler add_front_user_update(), der auch für nicht authentifizierte Nutzer registriert ist. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Die Lücke ist nicht als aktiv ausgenutzt (CISA KEV) bekannt und nicht mit Ransomware-Kampagnen in Verbindung gebracht.

Das WordPress-Plugin WP Learn Manager ist in allen Versionen bis einschliesslich 1.1.8 anfällig für eine Autorisierungsumgehung, weil das Plugin nicht ausreichend prüft, ob ein Benutzer berechtigt ist. Laut CVSS-Vektor ist die Lücke über das Netzwerk ohne Authentisierung und ohne Nutzerinteraktion ausnutzbar. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Betroffene Installationen sollten anhand des NVD-Eintrags geprüft werden.

Das WordPress-Plugin Invoice Generator ist in allen Versionen bis einschliesslich 1.0.0 für eine Account-Übernahme per Passwort-Reset anfällig. Ursache ist laut Quellbeschreibung die Funktion pravel_invoice_change_password(). Die Schwachstelle ist ohne Authentifizierung über das Netzwerk ausnutzbar. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Das WordPress-Plugin Tutor LMS verhindert vor Version 4.0.6 nicht, dass Anfragedaten interne Variablen beim Rendern von Templates überschreiben. Dadurch können nicht authentifizierte Nutzer beliebige parameterlose Funktionen aufrufen. CVSS-Basiswert: 9.8 (Kritisch).

Das WordPress-Plugin Bricksforge ist in allen Versionen bis einschliesslich 3.1.8.6 für eine Rechteausweitung anfällig. Ursache ist eine unzureichende Validierung des Parameters fieldIds in den Pro Forms. Angreifer können dadurch höhere Berechtigungen erlangen. CVSS-Basiswert: 9.8 (Kritisch).

Das WordPress-Plugin GEO my WP ist in den Versionen bis einschliesslich 4.5.4 für SQL-Injection über die Parameter 'distance', 'lat' und 'lng' anfällig. Die Werte wurden laut Quelle aus $_SERVER['QUERY_STRING'] gelesen und ungeprüft weiterverarbeitet. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine Version neuer als 4.5.4 aktualisieren.

Das WordPress-Plugin Super Store Finder bereinigt bis einschliesslich Version 7.8 einen Parameter einer nicht authentifizierten AJAX-Aktion nicht, bevor dieser in eine SQL-Abfrage übernommen wird. Laut NVD können nicht authentifizierte Angreifer dadurch SQL-Injection-artige Manipulationen vornehmen; die Quellbeschreibung bricht an dieser Stelle ab. CVSS-Basiswert: 9.1 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Die Lücke ist nicht im CISA-KEV-Katalog gelistet und es ist kein Ransomware-Bezug bekannt.

WordPress Hybrid Composer 1.4.6 enthält eine Schwachstelle, über die nicht authentifizierte Angreifer WordPress-Optionen verändern können, indem sie die Aktion hc_ajax_save_option ausnutzen. Die Lücke ist laut CVSS-Vektor über das Netzwerk und ohne Authentisierung oder Nutzerinteraktion ausnutzbar. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Betroffene Installationen sollten anhand des NVD-Eintrags geprüft werden.

Das WordPress-Plugin JSON Options prüft bis einschliesslich Version 0.0.4 bei einer seiner Aktionen weder Berechtigungen (Capability Check) noch einen Nonce; die Aktion läuft bei jedem Request und steht auch nicht authentifizierten Nutzern offen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin Easy Post Submission ist laut NVD-Beschreibung für eine unautorisierte Datenänderung anfällig, da die Funktion create_post() keine Berechtigungsprüfung (Capability Check) durchführt. Betroffen sind alle Versionen bis zur in der Quelle genannten Version. CVSS-Basiswert: 9.1 (Kritisch). Eine EPSS-Kennzahl liegt in den Quelldaten nicht vor.

Das WordPress-Theme Nokri – Job Board ist bis einschliesslich Version 1.6.6 anfällig für eine Rechteausweitung durch Account-Übernahme. Ursache ist eine unzureichende Validierung des Passwort-Reset-Tokens. CVSS-Basiswert: 9.8 (Kritisch). Ein EPSS-Wert liegt in den Quelldaten nicht vor.

Das WordPress-Plugin Solace Extra ist bis einschliesslich Version 1.6.0 anfällig für unautorisierte Änderung und Verlust von Daten, da in der Funktion import_zip() eine Capability-Prüfung fehlt. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin Ajax Load More bereinigt und maskiert in Versionen vor 8.0.1 einen Parameter nicht ordnungsgemäss, bevor dieser in einer SQL-Abfrage verwendet wird. Dadurch können unauthentifizierte Angreifer eine time-based blind SQL-Injection durchführen. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin Contact Form 7 PDF, Google Sheet & Database von RedefiningTheWeb erlaubt das Hochladen von Dateien mit gefährlichem Dateityp (Unrestricted Upload of File with Dangerous Type), wodurch bösartige Dateien eingeschleust werden können. CVSS-Basiswert: 9.9 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin ProfileGrid (User Profiles, Groups and Communities) erlaubt eine Rechteausweitung durch Übernahme fremder Konten. Betroffen sind alle Versionen bis einschliesslich 5.9.9.5. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Prüfen Sie, ob das Plugin in Ihren WordPress-Installationen eingesetzt wird.

Im WordPress-Plugin Meta Box AIO besteht in der MB-Frontend-Submission-Erweiterung eine fehlende Autorisierungsprüfung im template_redirect-Dispatcher. Betroffen sind laut NVD alle Versionen bis einschliesslich 3.8.0. Dadurch können Aktionen ausgeführt werden, die eigentlich eine Berechtigung voraussetzen. CVSS-Basiswert: 9.1 (Kritisch).

Das WordPress-Plugin Embed HTML5 Game schränkt bis Version 1.3 nicht ausreichend ein, wer über das Plugin Dateien hochladen darf und welche Dateitypen dabei zulässig sind. Dadurch können nicht authentifizierte Angreifer Dateien hochladen. Betroffen sind laut Produktzuordnung die WordPress-Sicherheitsdienste Patchstack, Wordfence und WPScan. CVSS-Basiswert: 10 (Kritisch).

Das WordPress-Plugin ChamaWP validiert vor Version 1.0.13 eine Anfrage zum Zurücksetzen des Passworts nicht korrekt. Laut NVD können nicht authentifizierte Angreifer dadurch das Passwort beliebiger Benutzerkonten zurücksetzen, einschliesslich Administratorkonten. CVSS-Basiswert: 9.8 (Kritisch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf ChamaWP 1.0.13 oder neuer aktualisieren.

Das WordPress-Plugin POUCO Import Users führt laut Quelldaten bei AJAX-Aktionen, die WordPress-Benutzerkonten anlegen und aktualisieren, keine Capability- oder Nonce-Prüfung durch. Diese Aktionen stehen auch nicht authentifizierten Nutzern offen. Betroffen sind Versionen bis einschliesslich 1.0.0. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin uncanny-automator-pro wurde in Versionen vor 7.3.0.6 mit Schadcode ausgeliefert, nachdem die Update- beziehungsweise Verteilinfrastruktur des Herstellers kompromittiert worden war. Es handelt sich damit um einen Supply-Chain-Vorfall in der Plugin-Auslieferung. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Auf uncanny-automator-pro 7.3.0.6 oder neuer aktualisieren.

Das WordPress-Theme Jawn ist laut NVD in allen Versionen bis einschliesslich 1.4.2 von einer Privilege-Escalation-Schwachstelle betroffen, die es nicht authentifizierten Angreifern ermöglicht, ihre Rechte zu erhöhen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Die Lücke ist laut den Quelldaten über die WordPress-Sicherheitsdienste Patchstack, Wordfence und WPScan dokumentiert.

Das WordPress-Plugin Total Donations ist laut NVD in allen Versionen bis einschliesslich 2.0.5 anfällig für SQL-Injection. Ursache ist laut Quelle eine unzureichende Maskierung eines vom Nutzer übergebenen Parameters sowie eine fehlende ausreichende Vorbereitung der Datenbankabfragen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin Developer Tools enthält bis Version 1.1.3 eine Schwachstelle im gebündelten SWFUpload-Bestandteil, die nicht authentifizierten Angreifern das Hochladen beliebiger Dateien erlaubt. CVSS-Basiswert: 9.8 (Kritisch).

Das WordPress-Plugin OTP Login With Phone Number, OTP Verification begrenzt vor Version 1.8.71 die Anzahl der OTP-Verifizierungsversuche nicht und invalidiert einen Einmal-Login-Code nach einer falschen Eingabe nicht. Dadurch kann ein Angreifer den Code per Brute-Force erraten. Laut Zuordnung sind zudem Erlang/OTP (Ericsson), Omnissa Workspace ONE/Horizon und Caddy (Light Code Labs) betroffen. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin „Booking for Appointments and Events Calendar – Amelia“ (Premium) ist in den Versionen 8.0 bis 9.6.2 anfällig für eine Privilege-Escalation-Schwachstelle. Betroffen sind laut Produktzuordnung die WordPress-Sicherheitsdienste Patchstack, Wordfence und WPScan. CVSS-Basiswert: 9.8 (Kritisch).

Das WordPress-Plugin Link Factory ist selbst eine Backdoor. Es wird als vermeintlicher „Homepage Sentence Publisher“ verbreitet und stellt unter /wp-json/link-factory/v1/ eine vom Betreiber kontrollierte REST-API bereit. CVSS-Basiswert: 10 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin GPTranslate – Multilingual AI Translation enthält in den Versionen bis einschliesslich 2.32.6 eine SQL-Injection, die ohne Authentifizierung ausgenutzt werden kann. Angreifer können darüber Datenbankabfragen manipulieren. CVSS-Basiswert: 9.3 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf eine Version neuer als 2.32.6 aktualisieren.

Das WordPress-Plugin WatchMan-Site7 beschränkt bis Version 4.2.0 laut NVD den Zugriff auf seine Debugging-Konsole nicht, über die vom Nutzer übermittelter PHP-Code ausgeführt wird. Dadurch kann jeder authentifizierte Nutzer, etwa mit der Rolle Subscriber, eigenen Code auf dem Server ausführen. CVSS-Basiswert: 9.9 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H.

Das WordPress-Plugin CryptoPayment Gateway prüft in den Versionen 1.2.1 bis 1.2.2 bei einem seiner AJAX-Endpunkte keine Berechtigung, wodurch nicht authentifizierte Angreifer administrative Funktionen auslösen können. CVSS-Basiswert: 10 (Kritisch). Der Vektor (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) zeigt eine ohne Interaktion aus der Ferne ausnutzbare Lücke mit vollständigem Verlust von Vertraulichkeit, Integrität und Verfügbarkeit.

Das WordPress-Plugin Uix UserCenter prüft bis Version 1.0.3 bei einer nicht authentifizierten Profil-Update-Aktion nicht, ob das zu ändernde Konto tatsächlich dem Anfragenden gehört, authentifiziert dabei aber fehlerhaft. Angreifer können dadurch ohne Berechtigung fremde Benutzerkonten manipulieren. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin ShopMonitor.io schränkt seinen E-Mail-Rerouting-Testmodus unzureichend ein: Die zugrunde liegende Trusted-Source-Prüfung lässt sich durch clientseitig mitgesendete Request-Header erfüllen. Dadurch kann die Testmodus-Beschränkung umgangen werden. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Das WordPress-Plugin Kadence Memberships (ehemals Restrict Content) ist laut NVD anfällig für Password-Reset-Link-Poisoning, was zu einer Kontoübernahme (Account Takeover) führen kann. Betroffen sind laut Quelle Versionen bis zu der in der Beschreibung genannten Fassung. CVSS-Basiswert: 9.3 (Kritisch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Das WordPress-Plugin WP Events Manager validiert vor Version 2.2.5 die angeforderte Menge bei der Anmeldung zu kostenpflichtigen Events nicht und berechnet den Preis anhand einer vom Angreifer kontrollierten Menge. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin WP MAPS PRO vor Version 6.1.1 registriert eine AJAX-Aktion, die ohne Authentifizierung aufrufbar ist. Die benötigte Nonce wird auf jeder Frontend-Seite, die das Karten-Skript einbindet, öffentlich ausgegeben; die Aktion wird anschliessend bedingungslos ausgeführt. CVSS-Basiswert: 9.8 (Kritisch). Der CVSS-Vektor weist die Schwachstelle als über das Netzwerk ohne Rechte und ohne Benutzerinteraktion ausnutzbar aus. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Auf WP MAPS PRO 6.1.1 oder neuer aktualisieren.

Das WordPress-Plugin Eventer weist einen unsicheren Passwort-Reset-Mechanismus auf: Der Reset-Schlüssel wird im Klartext gespeichert. Betroffen sind laut Quelle alle Versionen bis einschliesslich 4.4.2. CVSS-Basiswert: 9.8 (Kritisch). Der CVSS-Vektor weist auf eine Ausnutzung über das Netzwerk ohne Rechte und ohne Benutzerinteraktion hin. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin Hippoo Mobile App for WooCommerce ist in allen Versionen bis einschliesslich 1.9.4 für eine Authentifizierungsumgehung anfällig, die bis zur Übernahme des Administratorkontos führen kann. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Das Plugin auf eine Version neuer als 1.9.4 aktualisieren, sobald verfügbar; die Quelldaten enthalten keine weitergehende Massnahmenempfehlung.

Das WordPress-Plugin Link Library bereinigt und escaped vor Version 7.9.3 laut NVD einen nutzerseitig gelieferten Wert nicht korrekt, bevor dieser in eine SQL-Abfrage einfliesst. Dadurch können nicht authentifizierte Angreifer SQL-Injection-Angriffe durchführen. CVSS-Basiswert: 9.1 (Kritisch). Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Das WordPress-Plugin Participants Database bereinigt und maskiert vor Version 2.7.8.4 einen nutzerseitig übergebenen Parameter nicht ausreichend, bevor dieser in einer SQL-Abfrage verwendet wird. Laut NVD können nicht authentifizierte Angreifer dadurch eine SQL-Injection durchführen. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Das WordPress-Plugin Simple Membership prüft vor Version 4.7.8 bei der Registrierung nicht, ob die Benutzererstellung fehlgeschlagen ist, bevor der zurückgegebene Wert als Benutzer-ID zur Aktualisierung eines Kontos verwendet wird. Dies kann von nicht authentifizierten Angreifern ausgenutzt werden. CVSS-Basiswert: 9.4 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet.

Das WordPress-Plugin Remote API deserialisiert bis Version 0.2 nutzerkontrollierte Eingaben, ohne die Anfrage zuvor zu authentifizieren. Dadurch können nicht authentifizierte Angreifer beliebige PHP-Objekte einschleusen (PHP Object Injection). CVSS-Basiswert: 9.0 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Im WordPress-Plugin GEO my WordPress besteht in den Versionen bis einschliesslich 4.5.5 eine SQL-Injection-Schwachstelle, die ohne Authentifizierung ausgenutzt werden kann. CVSS-Basiswert: 9.3 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: das Plugin auf eine Version neuer als 4.5.5 aktualisieren.

Die WordPress-Plugins DoLeads Integrator (bis Version 0.65) und wp2epub (bis Version 0.65) wurden dazu genutzt, Remote Code Execution zu erreichen, sobald sie einem Blog hinzugefügt werden. CVSS-Basiswert: 9.0 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Das WordPress-Plugin Workeera schränkt vor Version 1.0.6 nicht ein, welche Werte ein Nutzer in sein eigenes Kandidatenprofil schreiben kann, und validiert den gespeicherten Dateipfad vor dem Löschen nicht ausreichend. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Eine aktive Ausnutzung über CISA KEV ist nicht bekannt.

Das WordPress-Plugin „Total processing card payments for WooCommerce“ validiert bis Version 7.3 einen vom Nutzer angegebenen Pfad nicht, bevor dieser zum Aufbau einer serverseitigen Verifizierungsanfrage verwendet wird. Eine zusätzliche Verifizierung fehlt ebenfalls. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Zu einer empfohlenen Massnahme liegen in den Quelldaten keine Angaben vor.

Das WordPress-Plugin MStore API prüft vor Version 4.21.0 bei mehreren Zahlungs-Endpunkten nicht, ob eine Zahlung tatsächlich beim Payment-Gateway bestätigt wurde, bevor eine Bestellung als bezahlt markiert wird. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Das WordPress-Plugin Import and export users and customers setzt laut NVD vor Version 2.4.2 beim CSV-Import von Nutzerdaten die Rollenzuweisungs- und Bearbeitungsrechte von WordPress nicht durch. Dadurch kann ein Nutzer mit eingeschränkten Rechten über den Import Konten mit höheren Berechtigungen anlegen oder verändern. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Das WordPress-Plugin teddy-bear-customize-addon validiert bis Version 1.0.5 hochgeladene Dateien nicht ordnungsgemäss: Es verlässt sich auf einen vom Client angegebenen Content-Type und behält den ursprünglichen Dateinamen bei. CVSS-Basiswert: 10.0 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Ein Ransomware-Bezug ist nicht bekannt.

Das WordPress-Plugin 爱采集数据采集和发布插件 verlangt bis Version 1.0.0 für einen seiner nicht authentifizierten Endpunkte kein installationsspezifisches Secret, sondern verwendet stattdessen einen hartkodierten Standardwert, und validiert zudem die übergebenen URLs beziehungsweise Zieladressen nicht. CVSS-Basiswert: 9.3 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.