LONDON (IT BOLTWISE) – Mehrere kritische Sicherheitslücken in WordPress-Plugins und -Themes erhöhen das Risiko für Account-Takeover und Remote Code Execution. Betroffen sind unter anderem ein Dashboard-Plugin, ein Theme mit Builder-Funktion sowie TranslatePress, Pods und GiveWP. Für mehrere CVE-IDs werden extrem hohe CVSS-Werte genannt, teils bis 10,0. Besonders heikel ist bei GiveWP die Beschreibung einer Objekt-Serialisierung, die bei passenden Bedingungen in RCE umkippt.
Die diesjährige Bündelung kritischer Schwachstellen in mehreren WordPress-Plugins und -Themes zeigt vor allem eins: Ein einzelner Installationsschritt kann in der Praxis schnell zum gesamten Angriffsweg werden. In der aktuellen Offenlegung werden fünf Lücken genannt, die laut Wordfence und einer weiteren etablierten Anbietersichtung zu Authentication Bypass, Account Takeover und teils sogar willkürlicher Codeausführung (Remote Code Execution) führen können. Auffällig ist dabei das Muster identischer CVSS-Maximalitäten: Mehrere der genannten CVE-IDs tragen jeweils einen Wert von 9,8, eine weitere sogar 10,0. Für Betreiber bedeutet das nicht nur „Patchen“, sondern auch die Frage, welche Komponenten in der eigenen WordPress-Umgebung tatsächlich aktiv sind.
Beim WPMU DEV Dashboard (CVE-2026-76581) geht es um einen Authentifizierungsumgehungsfehler, der in Verbindung mit bestimmten Integrationsbedingungen zu Administratorrechten führen kann. Die Beschreibung lautet: Ein nicht authentifizierter Angreifer könnte Zugang erhalten, wenn die betroffene Installation mit WPMU DEV verbunden ist und Hub Single-Sign On (SSO) aktiviert ist; zusätzlich wird erwähnt, dass die Anbindung auf einen Administrator gemappt sein muss. Das „Affects“-Fenster geht dabei bis einschließlich Version 5.0.1. Technisch ist das ein klassischer Fail in der Zugriffskontrolle, häufig ausgelöst durch fehlerhafte Annahmen darüber, ob ein SSO-Token oder eine Session-Information bereits verifiziert wurde.
Deutlich anders gelagert ist die Lücke im Avada-Theme (CVE-2026-18431). Hier wird ein Problem beim Schreiben von Dateien adressiert: Durch einen Arbitrary File Write sei es einem nicht authentifizierten Angreifer möglich, serverseitig Dateien zu erzeugen, deren Inhalt vom Angreifer gesteuert wird. Der entscheidende Punkt folgt direkt daraus: Diese Dateien könnten so genutzt werden, dass sich anschließend beliebige PHP-Dateien erstellen und ausführen lassen. Damit verschiebt sich der Angriffspfad von „Dateiablage“ zu „vollständiger Webshell-ähnlicher Kontrolle“ und im Ergebnis zu einem vollständigen Site Compromise. Besonders relevant ist der Hinweis, dass die betroffene Versionen-Konstellation an die Installation und Aktivierung eines Fusion Builder Plugins gekoppelt ist (bis einschließlich Avada 7.16, wenn Fusion Builder bis einschließlich 3.16 aktiv ist).
Bei TranslatePress (CVE-2026-19632) steht eine Informationspreisgabe im Vordergrund, die wiederum eine konkrete Kontoübernahme vorbereitet. Laut Beschreibung kann ein Angreifer eine rohe URL für den Passwort-Reset eines Administratorkontos extrahieren; diese URL soll unter anderem einen Klartext-Reset-Key sowie Login-Parameter enthalten. Damit ist das Risiko zweistufig: Erstens wird ein Geheimnis aus dem System gezogen (das Reset-Token), zweitens wird dieses Geheimnis so nutzbar, dass die Übernahme ohne zusätzliche Hürden möglich wird. Das Timing der Ausnutzbarkeit ist zudem stark an eine bestimmte Konfiguration geknüpft: Es geht um Versionen bis einschließlich 3.3.1, aber nur dann, wenn automatisches Speichern von Strings aktiv ist und die Locale des Zieladministrators auf eine „published secondary language“ eingestellt ist.
Noch unmittelbarer in Richtung Rechteausweitung wirkt die Lücke in Pods (CVE-2026-19598). Hier wird eine Privilege Escalation beschrieben, die einem nicht authentifizierten Angreifer erlaubt, entweder selbst Administrator zu werden oder das Passwort beliebiger Nutzeraccounts zu überschreiben, einschließlich des Site Owners. Dass Versionen bis einschließlich 3.3.9 betroffen sein sollen, ist für Betriebsteams besonders unangenehm, weil Pods in vielen Installationen als Content- und Feld-Erweiterung im Hintergrund läuft und damit oft „vergessen“ wird. Eine solche Schwachstelle ist meist nicht nur ein Patch-Problem, sondern auch ein Incident-Response-Thema: Sobald ein Angreifer Rechte erlangen konnte, müssen Logins, Änderungen an Administrator-Accounts und möglicherweise auch Datenmanipulation unabhängig vom Plugin selbst geprüft werden.
Am technisch anspruchsvollsten wirkt die Darstellung zur GiveWP-Lücke (CVE-2026-82222, CVSS 10,0). Laut Beschreibung kann ein Angreifer willkürliche Befehle auf dem Server ausführen, wenn eine GiveWP-Installation genau eine veröffentlichte Spendenformular-Instanz und einen aktiven Payment Gateway umfasst; betroffen seien Versionen bis einschließlich 4.16.7.1. Besonders lehrreich ist die in der Offenlegung zitierte Ursachenbeschreibung: „The flaw chains a broken ‘safe unserialize’ helper, a donation flow that feeds that helper attacker-controlled data, and a gadget chain in code that GiveWP ships, “ Patchstack said about CVE-2026-82222. „This case shows how PHP object injection turns into remote code execution when three ingredients line up: a place to store an attacker-controlled serialized object, code that later unserializes it, and a gadget chain in loaded classes.“ „The root causes are common: trusting a serialization sanitizer that does not actually strip objects, unserializing data read back from the database as if it were trusted, and shipping development-only libraries into production where they provide ready-made gadget chains.“ Inhaltlich lässt sich das als klassischer Weg von PHP Object Injection über eine vermeintliche „sichere“ Deserialisierung bis zur RCE über bereits geladene Klassen verstehen.
Für IT-Verantwortliche und WordPress-Betreiber ergibt sich daraus ein klarer Handlungsfaden, der über „Update installieren“ hinausgeht. Erstens sollten Teams die eigene Installationslandschaft aktiv gegen die genannten „Affects“-Bedingungen spiegeln, weil einzelne Lücken an ungewöhnliche Kombinationszustände geknüpft sind (etwa SSO-Mapping beim WPMU DEV Dashboard oder das Zusammenspiel von Avada und Fusion Builder). Zweitens ist bei Schwachstellen mit möglichen Takeover-Szenarien nicht nur die Plugin-Version entscheidend, sondern auch die Frage, ob in der Zeit zwischen Bekanntwerden und Patchen bereits Rechte manipuliert wurden. Drittens lohnt sich bei GiveWP besonders die technische Nachprüfung, ob weitere Komponenten wie Formular-Workflows und Payment-Integrationen in ähnlicher Weise attacker-controlled Daten in Persistenz-Schichten übernehmen. Insgesamt spricht die Paketstruktur der Meldung dafür, dass Security-Teams in WordPress-Umgebungen künftig noch stärker mit einer „Angriffsfläche pro Kombination“ arbeiten müssen: Nicht nur das einzelne Plugin zählt, sondern auch die Kommunikationswege, Datenflüsse und aktivierten Erweiterungen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Mehrere WordPress-Plugins und Themes: Kritische RCE- und Takeover-Lücken" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Mehrere WordPress-Plugins und Themes: Kritische RCE- und Takeover-Lücken" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Mehrere WordPress-Plugins und Themes: Kritische RCE- und Takeover-Lücken« bei Google Deutschland suchen, bei Bing oder Google News!