Mobile builder: Privilege Escalation zu Administrator über User Meta
Zusammenfassung
Das WordPress-Plugin Mobile builder bis und mit Version 1.4.2 beschränkt nicht richtig, welche User-Meta-Schlüssel ein angemeldeter Benutzer über eine seiner REST-Routen ändern kann. Jeder Benutzer mit einem selbst registrierten Konto, etwa ein Kunde oder Abonnent, kann sich damit selbst die Rolle Administrator zuweisen. Der Angriff erfolgt über das Netzwerk und benötigt nur ein Konto mit geringen Rechten, daher sind Websites mit offener Registrierung am stärksten gefährdet.
Betroffen
- WordPress-Plugin Mobile builder, alle Versionen bis und mit 1.4.2
- Hersteller: Unbekannt
Behoben in
Unbekannt. WPScan nennt keine bekannte Korrektur, und es wurde keine Herstellermitteilung gefunden. Es darf nicht davon ausgegangen werden, dass Version 1.4.3 diese CVE behebt, bis der Hersteller dies bestätigt.
Umgehung
- Es ist kein Workaround des Herstellers bekannt.
- Das Plugin deaktivieren und entfernen, falls es nicht benötigt wird.
- Offene Selbstregistrierung deaktivieren, falls Kunden diese nicht benötigen, und sicherstellen, dass die Standardrolle für neue Benutzer nicht Administrator ist.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn; nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein.
- EPSS 0.00142 (niedrig).
- Öffentlicher Proof of Concept: unbekannt.
Unsere Empfehlung
- Prüfen, ob das Plugin auf einer WordPress-Website installiert ist, und es entfernen, falls es nicht benötigt wird.
- Offene Registrierung deaktivieren, wo sie nicht nötig ist.
- Bestehende Administrator-Konten und kürzliche Rollenänderungen auf unerwartete Einträge prüfen.
- Rollenänderungen von Benutzern überwachen und eine WAF-Regel nur als vorübergehende Massnahme in Betracht ziehen.
- Websites mit diesem Plugin hohe Priorität geben, wenn sie aus dem Internet erreichbar sind und offene Registrierung haben, da die verwandte SQL-Injection CVE-2026-103695 ebenfalls betroffen ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability record wpscan.com
- Vulners NVD record vulners.com
- OpenCVE record app.opencve.io
- HOL Guard CVE summary hol.org
- WPScan record for related SQL injection CVE-2026-103695 wpscan.com
- VulDB entry for related SQL injection CVE-2026-103696 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:44.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.