Sunshine Photo Cart WordPress-Plugin: Unauthentifizierte PHP Object Injection

Zusammenfassung

Das WordPress-Plugin Sunshine Photo Cart bis und mit Version 3.7.4 deserialisiert nicht vertrauenswürdige Eingaben ohne Authentifizierung. Ein nicht authentifizierter Angreifer kann über den verwundbaren Einstiegspunkt, der über eine öffentliche Favoriten-Seite erreichbar ist, ein PHP-Objekt einschleusen. Das Plugin selbst enthält keine bekannte POP-Kette, weshalb die direkte Auswirkung derzeit nicht belegt ist; falls ein weiteres installiertes Plugin oder Theme eine POP-Kette bereitstellt, könnte ein Angreifer Dateien löschen, sensible Daten abrufen oder Code ausführen.

Betroffen

• Sunshine Photo Cart Plugin für WordPress, alle Versionen bis und mit 3.7.4
• Standardkonfiguration: nicht betroffen (gemäss CVE-Eintrag ist der betroffene Bereich 0 bis <= 3.7.4)

Behoben in

Unbekannt. Der CVE-Eintrag nennt keine korrigierte Version. Patchstack führt 3.7.5 als neueste Version auf, dies ist jedoch nicht als Korrektur bestätigt.

Umgehung

• Plugin deaktivieren, bis eine korrigierte Version bestätigt ist
• Öffentlichen Zugriff auf die Favoriten-Seite mit einer WAF oder Zugriffskontrollen einschränken
• Andere Plugins und Themes mit Deserialisierungs-Gadget-Ketten prüfen und entfernen

Ausnutzung

• CISA KEV: laut einem Drittanbieter-Aggregator nicht aufgeführt; im CISA-Katalog überprüfen
• Öffentlicher Proof of Concept: laut VulDB keiner bekannt
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total
• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden

Unsere Empfehlung

• Alle WordPress-Seiten mit diesem Plugin ermitteln und deren Version prüfen
• Bei Seiten mit Version 3.7.4 oder tiefer das Plugin deaktivieren oder die Favoriten-Seite einschränken, bis eine Korrektur bestätigt ist
• Changelog auf WordPress.org und den Trac-Changeset auf die korrigierte Version prüfen und anschliessend aktualisieren
• Andere Plugins und Themes auf bekannte Deserialisierungs-Gadget-Ketten prüfen
• CISA KEV sowie die Einträge von Wordfence und Patchstack auf Änderungen überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence advisory www.wordfence.com
• WordPress Trac changeset plugins.trac.wordpress.org
• Patchstack vulnerability database patchstack.com
• VulDB entry vuldb.com
• Sunshine Photo Cart changelog www.sunshinephotocart.com
• WordPress.org plugin page wordpress.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:42.