Acadlix LMS: Beliebiges Löschen von Dateien über ungeschützte REST-Route

Zusammenfassung

Acadlix LMS, ein WordPress-Plugin für Online-Kurse und Prüfungen, enthält eine Schwachstelle bei der Pfadvalidierung in der Funktion post_delete_assessment_file_by_id. Ein Angreifer kann beliebige Dateien auf dem Server löschen, und das Löschen von Dateien wie wp-config.php kann zu Remote Code Execution führen. Die REST-Route prüft nur einen generischen Nonce, den das Plugin auf jeder Frontend-Seite ausgibt, daher ist faktisch keine Authentifizierung nötig. Alle Versionen bis und mit 1.1.9 sind betroffen.

Betroffen

• Acadlix LMS (WordPress-Plugin) alle Versionen bis und mit 1.1.9

Behoben in

Unbekannt. Zum Zeitpunkt der Recherche wurde keine korrigierte Version gefunden. Prüfen Sie das Änderungsprotokoll auf WordPress.org und den Wordfence-Hinweis.

Umgehung

• Kein Workaround des Herstellers gefunden. - Plugin deaktivieren und entfernen, falls es nicht benötigt wird. - Falls es verbleiben muss, den Zugriff auf die betroffene REST-Route auf Webserver- oder WAF-Ebene einschränken. - Schreib- und Löschrechte des Webservers auf wp-config.php und die Plugin-Verzeichnisse einschränken.

Ausnutzung

• Kein Nachweis einer Ausnutzung in freier Wildbahn gefunden. - Kein öffentlicher Proof of Concept oder Scanner-Template indexiert. - VulDB stuft die Ausnutzung als einfach ein; dies ist eine Bewertung und kein Nachweis einer Ausnutzung.

Unsere Empfehlung

• Prüfen Sie, ob das Plugin auf einer aus dem Internet erreichbaren WordPress-Website installiert ist. - Plugin deaktivieren und entfernen, falls es nicht benötigt wird. - Falls es benötigt wird, die REST-Route einschränken und auf fehlende oder veränderte Dateien im WordPress-Stammverzeichnis achten. - Offline-Backups aufbewahren und eine korrigierte Version einspielen, sobald der Hersteller sie veröffentlicht.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence entry (CVE-2026-103882) www.wordfence.com
• VulDB entry 429532 vuldb.com
• OffSeq Radar entry CVE-2026-103882 radar.offseq.com
• Patchstack vulnerability database patchstack.com
• Acadlix plugin on WordPress.org wordpress.org
• Acadlix pricing and update information acadlix.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:21.