Frontend Dashboard und ProfileGrid WordPress-Plugins: PHP Object Injection
Zusammenfassung
Frontend Dashboard vor 3.0.5 und ProfileGrid vor 6.0.0.5, zwei WordPress-Plugins, verhindern nicht, dass nicht authentifizierte Benutzer ein serialisiertes PHP-Objekt in Benutzer-Metadaten speichern. Das Objekt wird deserialisiert, wenn ein öffentliches Profil angezeigt wird. Ein Angreifer könnte dadurch beliebige Dateien schreiben und möglicherweise Remote Code Execution auslösen, abhängig von anderem Code auf der Website. Die Schwachstelle ist für öffentliche WordPress-Websites mit diesen Plugins mit hoher Priorität zu behandeln.
Betroffen
- Frontend Dashboard vor 3.0.5
- ProfileGrid vor 6.0.0.5
Behoben in
- Frontend Dashboard 3.0.5
- ProfileGrid 6.0.0.5
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Vorübergehend können öffentliche Profilseiten eingeschränkt oder deaktiviert werden, bis das Update installiert ist.
Ausnutzung
- Kein öffentlicher Exploit-Code gefunden.
- Nicht im CISA-KEV-Katalog; bis zum Stichtag der Quellen wurde keine Ausnutzung gemeldet.
- VulDB beschreibt die Ausnutzung als einfach; dies ist eine Einschätzung und kein Beleg für Angriffe.
Unsere Empfehlung
- Websites mit diesen WordPress-Plugins inventarisieren: Frontend Dashboard vor 3.0.5 und ProfileGrid vor 6.0.0.5.
- Auf die fixen Versionen aktualisieren und danach die installierten Versionen überprüfen.
- Benutzer-Metadaten auf ungewöhnliche serialisierte Werte prüfen sowie auf unerwartete Dateien, Administratorkonten oder PHP-Änderungen achten; dies ist keine vollständige Erkennungsmethode.
- Auf die NVD-Analyse, einen KEV-Eintrag oder einen öffentlichen PoC achten, da diese die Priorität erhöhen würden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability record CVE-2026-103693 wpscan.com
- VulDB CVE-2026-103693 vuldb.com
- VulDB vulnerability 428318 vuldb.com
- OffSeq Radar CVE-2026-103693 radar.offseq.com
- Strix CVE-2026-103693 www.strix.ai
- ThreatINT CVE-2026-103693 cve.threatint.com
- WordPress.org Frontend Dashboard plugin tag page wordpress.org
- WPScan ProfileGrid plugin page wpscan.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:01.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.