Featured Image from URL (FIFU): CSRF ermöglicht Erstellung von Administratorkonten
Zusammenfassung
Das WordPress-Plugin Featured Image from URL (FIFU) in der kostenlosen und der Premium-Version prüft das REST-API-Nonce für präparierte URLs nicht korrekt. Ein Angreifer kann mittels Cross-Site Request Forgery einen angemeldeten Administrator REST-API-Aktionen ausführen lassen, etwa die Erstellung eines neuen Administratorkontos. Der Angreifer benötigt kein Konto, aber ein Administrator muss angemeldet sein und eine bösartige Seite oder einen Link aufrufen. Eine erfolgreiche Ausnutzung kann zur vollständigen Übernahme der WordPress-Website führen.
Betroffen
- FIFU (kostenlos): 6.0.0 bis vor 6.0.8
- FIFU Premium: 6.8.0 bis vor 8.2.8
- Ältere Versionen: Unbekannt.
Behoben in
- FIFU (kostenlos): 6.0.8 oder neuer
- FIFU Premium: 8.2.8 oder neuer
Umgehung
- Unbekannt. Es wurde kein Workaround des Herstellers bestätigt.
- Falls das Patchen verzögert wird, Administrator-Anmeldungen einschränken und beim angemeldeten Zustand keine unbekannten Websites aufrufen.
- Eine WAF-Regel, die REST-API-Aufrufe ohne gültiges Nonce blockiert, kann helfen. Sie ist jedoch nicht verifiziert und kann Fehlalarme auslösen.
Ausnutzung
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- Nicht im CISA-KEV-Katalog. EPSS unter 1%.
- Ausnutzung in freier Wildbahn: keine gefunden.
- Öffentlicher Proof of Concept: Unbekannt.
Unsere Empfehlung
- Alle WordPress-Websites mit FIFU oder FIFU Premium identifizieren und deren Versionen erfassen.
- Auf FIFU 6.0.8 oder neuer und FIFU Premium 8.2.8 oder neuer aktualisieren.
- Die Liste der Administratorkonten auf unerwartete Konten prüfen.
- Administratoren darauf hinweisen, beim angemeldeten Zustand in WordPress keine unbekannten Websites aufzurufen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan: Featured Image from URL (FIFU) Free & Premium - Administrator Account Creation via CSRF wpscan.com
- VulDB: CVE-2026-101147 vuldb.com
- OpenCVE: CVE-2026-101147 app.opencve.io
- Threatint: CVE-2026-101147 cve.threatint.com
- Wordfence: FIFU earlier CSRF vulnerability (nonce validation) www.wordfence.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:02.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.