Nested Pages WordPress-Plugin: PHP Object Injection durch Contributor-Benutzer

Zusammenfassung

Das WordPress-Plugin Nested Pages bis und mit Version 3.3.2 enthält eine PHP Object Injection-Schwachstelle (CWE-502), die durch nicht vertrauenswürdige Daten ausgelöst wird. Gemäss CVE-Beschreibung kann ein Angreifer mit einem Contributor-Konto diese ausnutzen, was eine Manipulation der Datenverarbeitung und schädliche Aktionen auf dem Server ermöglichen könnte. Der CVSS-Wert von 9.8 geht von einem Worst-Case-Szenario aus; das tatsächliche Risiko hängt von Gadget-Ketten in anderen installierten Plugins oder Themes ab, die unbekannt sind.

Betroffen

• Nested Pages (WordPress-Plugin, Slug wp-nested-pages) in den Versionen 3.3.2 und früher
• Erforderliche Berechtigung laut Beschreibung: Contributor (CVSS-Vektor gibt an, dass keine Berechtigungen nötig sind; ungeklärt)

Behoben in

• Version 3.3.3 (laut Patchstack und den Release Notes des Herstellers; die Release Notes nennen die CVE-Nummer nicht)

Umgehung

• Keine vom Hersteller dokumentierte Workaround-Massnahme gefunden.
• Nicht benötigte Konten mit der Rolle Contributor entfernen oder herabstufen.
• Starke Passwörter und MFA für alle WordPress-Konten durchsetzen.
• Plugin entfernen, falls es nicht essenziell ist.

Ausnutzung

• CISA KEV: nicht gelistet.
• Patchstack stuft die Schwachstelle als mittlere Priorität ein und erwartet eine Ausnutzung; CISA SSVC gibt für die Ausnutzung keine an.
• Öffentlicher Proof of Concept: keiner gefunden.
• EPSS: unbekannt.

Unsere Empfehlung

• Nested Pages auf allen Websites, auch in Staging-Umgebungen, auf Version 3.3.3 oder neuer aktualisieren.
• Benutzerkonten mit der Rolle Contributor oder höher überprüfen.
• Plugin-Version im gesamten Inventar prüfen und auf Ausnutzungsversuche achten.
• Die Behebung im Patchstack-Advisory bestätigen, bevor das Ticket geschlossen wird.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory patchstack.com
• Hook & Filter Nested Pages releases github.com
• GitHub Advisory GHSA-vvmp-qqcf-xwvf github.com
• WordPress.org plugin listing wordpress.org
• Strix AI CVE-2026-100512 www.strix.ai
• HOL Guard CVE-2026-100512 hol.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:47.