JetBackup WordPress Plugin: Symlink-basiertes beliebiges Schreiben von Dateien bei Wiederherstellung
Zusammenfassung
Das Backup- und Migrations-Plugin JetBackup für WordPress folgt beim Import und bei der Wiederherstellung symbolischen Links in einem Backup-Archiv, ohne den Zielpfad zu prüfen. Ein authentifizierter WordPress-Administrator kann ein Backup-Archiv so gestalten, dass Dateiinhalte ausserhalb des vorgesehenen Wiederherstellungsverzeichnisses geschrieben werden. Je nach beschreibbarem Zielverzeichnis und Serverkonfiguration kann dies zur Ausführung von Code auf dem Server führen.
Betroffen
- JetBackup-Plugin für WordPress vor 3.1.24.10 (VulnCheck nennt betroffene Versionen 0 bis unter 3.1.24.10)
- Der 2.x-Zweig ist nicht verifiziert; alle Installationen unter 3.1.24.10 sind als betroffen zu behandeln
- Unbekannt: ob für andere Release-Zweige Backports existieren
Behoben in
- Auf JetBackup für WordPress 3.1.24.10 oder neuer aktualisieren
Umgehung
- Keine offizielle Umgehungsmassnahme gefunden. Der Hersteller gibt lediglich an, dass die Korrektur in 3.1.24.10 verfügbar ist.
Ausnutzung
- In den geprüften Quellen nicht als aktiv ausgenutzt gekennzeichnet; der CISA-KEV-Katalog wurde nicht direkt geprüft.
- Ein öffentlicher Proof-of-Concept-Eintrag existiert.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- Der EPSS-Wert liegt bei etwa 0,6 %.
- Administratorrechte auf der WordPress-Website sind erforderlich.
Unsere Empfehlung
- JetBackup auf allen WordPress-Websites innerhalb des üblichen Patch-Fensters auf 3.1.24.10 oder neuer aktualisieren.
- Prüfen, wer WordPress-Administratorkonten besitzt, und für diese starke Passwörter und MFA durchsetzen.
- Nur Backups aus vertrauenswürdigen Quellen wiederherstellen oder importieren.
- Nach jeder Wiederherstellung oder jedem Import auf unerwartete symbolische Links sowie neue oder geänderte Dateien ausserhalb der erwarteten Pfade prüfen.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
sarvarr1/jetbackup-cve
Quellen der Recherche
- JetBackup – Backup, Restore & Migrate (WordPress.org) wordpress.org
- VulnCheck advisory for CVE-2026-104068 www.vulncheck.com
- JetBackup vendor blog: October security notice blog.jetbackup.com
- VulDB entry 425332 vuldb.com
- HOL Guard entry for CVE-2026-104068 hol.org
- Sploitus proof-of-concept entry sploitus.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:16.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.