Anton Extensions WordPress-Plugin: Unauthentifizierter beliebiger Dateiupload führt zu RCE
Zusammenfassung
Das WordPress-Plugin Anton Extensions bis und mit Version 1.2.2 führt vor dem Schreiben von vom Angreifer gelieferten Inhalten an einen vom Angreifer gewählten Pfad keine Berechtigungsprüfung, keine Nonce-Verifizierung und keine Dateityp-Validierung durch. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann beliebige PHP-Dateien hochladen und Code auf dem Webserver ausführen. Es ist keine Benutzerinteraktion nötig, und die Lücke ist auf jeder öffentlich erreichbaren WordPress-Seite mit aktiviertem Plugin erreichbar.
Betroffen
- WordPress-Plugin Anton Extensions (Slug 4nton-extensions), Versionen 0 bis einschliesslich 1.2.2
- Hersteller und Entwickler: Unbekannt
Behoben in
- Unverifiziert: VulDB nennt Version 1.2.3 als Korrektur, dies ist aber nicht durch den Hersteller oder eine Herstellerwarnung bestätigt.
- WPScan führt 'No known fix'.
Umgehung
- Plugin entfernen oder deaktivieren, bis eine offizielle Korrektur verifiziert ist.
- Falls Uploads nicht zwingend benötigt werden, Dateiuploads in den WordPress-Medieneinstellungen deaktivieren.
- Eine Web-Application-Firewall-Regel, die PHP-Uploads blockiert, kann als temporäre Massnahme dienen; sie ist generisch und nicht vom Hersteller.
Ausnutzung
- CISA SSVC: Exploitation 'none', Automatable 'yes', Technical Impact 'total'.
- Nicht in der CISA KEV gelistet. Es ist keine Ausnutzung in freier Wildbahn bekannt.
- Ein öffentlicher Proof of Concept könnte existieren (WPScan und Vulners); nicht verifiziert. Von einem funktionierenden Exploit ist auszugehen.
- Der EPSS-Wert ist tief (von einer Quelle mit 0.21% angegeben), was das Risiko bei einer unauthentifizierten RCE nicht senkt.
Unsere Empfehlung
- Alle WordPress-Seiten inventarisieren und prüfen, ob das Plugin Anton Extensions installiert ist.
- Das Plugin auf allen betroffenen Seiten jetzt deaktivieren und entfernen.
- Das Webroot auf unerwartete oder kürzlich geänderte PHP-Dateien prüfen und die Webserver-Logs auf ungewöhnliche Anfragen kontrollieren.
- Vor einer Neuinstallation die korrigierte Version beim Entwickler oder im Changelog auf wordpress.org verifizieren.
- Jede Seite, auf der dieses Plugin läuft, bis zur Prüfung als potenziell kompromittiert behandeln.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability record wpscan.com
- VulDB CVE-2026-104028 vuldb.com
- OpenCVE CVE-2026-104028 app.opencve.io
- Vulners NVD mirror CVE-2026-104028 vulners.com
- GitHub alert (EPSS, KEV) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:18.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.