VK Google Job Posting Manager: PHP Object Injection durch Deserialisierung
Zusammenfassung
Das WordPress-Plugin VK Google Job Posting Manager bis Version 1.3.1 deserialisiert unvertrauenswürdige Daten, was eine PHP Object Injection (CWE-502) ermöglicht. Ein Angreifer mit niedrigen Berechtigungen kann die Verarbeitung von Daten auf der Website manipulieren und schädliche Aktionen auf dem Server ausführen. Das tatsächliche Ausmass hängt von den auf der betroffenen Website vorhandenen PHP-Gadget-Ketten ab, die nicht beurteilt werden konnten.
Betroffen
- WordPress-Plugin VK Google Job Posting Manager, alle Versionen bis 1.3.1 (Vektor Inc.)
Behoben in
- Auf Version 1.3.2 oder neuer aktualisieren, gemäss Patchstack-Advisory und CVE-Eintrag.
- Nicht verifiziert: Version 1.3.2 konnte auf WordPress.org nicht bestätigt werden; die installierte Version gegen die aktuelle Freigabe dort prüfen.
Umgehung
Unbekannt. In den Quellen ist keine Workaround dokumentiert. Falls keine korrigierte Version installiert werden kann, das Plugin deaktivieren und entfernen.
Ausnutzung
- Nicht als aktiv ausgenutzt markiert; laut einem Drittanbieter-Tracker nicht im CISA KEV enthalten.
- Patchstack stuft die Schwachstelle so ein, dass eine Ausnutzung zu erwarten ist; Schutzregeln wurden ausgegeben.
- Öffentlicher Proof of Concept: keiner gefunden; als unbekannt behandeln.
Unsere Empfehlung
- Das Plugin sofort auf die neueste Version von WordPress.org aktualisieren oder entfernen, falls es nicht benötigt wird, da es nur JSON-LD-Markup erzeugt.
- Benutzerkonten auf unerwartete Einträge mit niedrigen Berechtigungen prüfen.
- WordPress-Core und andere Plugins auf verfügbare Updates prüfen.
- Ungewöhnliche Serveraktivitäten überwachen und als temporäre Massnahme eine Web Application Firewall-Regel in Betracht ziehen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- WordPress.org plugin directory wordpress.org
- Positive Technologies PT-2026-106168 (Vulners) vulners.com
- HOL Guard CVE entry hol.org
- Strix CVE entry www.strix.ai
- Plugin Tests (Plugin Directory data) plugintests.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:30.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.