Mang Board WordPress-Plugin: Unauthentifizierte Local File Inclusion

Zusammenfassung

Das Plugin Mang Board für WordPress in den Versionen bis und mit 2.4.3 enthält eine Local File Inclusion-Schwachstelle im Parameter '<mode>_type'. Ein nicht angemeldeter Angreifer kann durch eine präparierte Anfrage an eine Seite mit dem öffentlichen Shortcode [mb_board] beliebige .php-Dateien auf dem Server einbinden und ausführen. Je nach Serverkonfiguration und vorhandenen Dateien können dadurch Zugriffskontrollen umgangen, sensible Daten offengelegt oder Remote Code Execution erreicht werden.

Betroffen

• Mang Board-Plugin für WordPress, alle Versionen bis und mit 2.4.3
• Standardkonfiguration gemäss CNA-Eintrag nicht betroffen; der betroffene Bereich ist 0 bis <= 2.4.3

Behoben in

Unbekannt. Keine Quelle bestätigt eine korrigierte Version. Die Versionen 2.4.4 und 2.4.5 sind nicht als korrigiert verifiziert.

Umgehung

• Plugin deaktivieren und entfernen, bis eine korrigierte Version bestätigt ist.
• Falls das Plugin verbleiben muss, virtuelles Patching über eine Web Application Firewall anwenden (zum Beispiel Wordfence- oder Patchstack-Regeln). Für diese CVE ist keine spezifische Regel bestätigt.
• Upload-Pfade für PHP-Dateien einschränken und PHP sowie WordPress-Core aktuell halten.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Kein Eintrag im CISA KEV in den durchgeführten Recherchen gefunden; dies ist eine Momentaufnahme, keine aktuelle Prüfung.
• Kein öffentlicher Proof of Concept in den durchgeführten Recherchen gefunden.
• EPSS etwa 0.01.
• Massenausnutzung: Unbekannt.
• Öffentliche Berichte beschreiben den Angriffspfad als trivial, ohne Authentifizierung, Nonce- oder Berechtigungsprüfung.

Unsere Empfehlung

• Inventar prüfen: Mang Board auf allen WordPress-Seiten, einschliesslich Versionen bis 2.4.3 und späterer Versionen.
• Plugin deaktivieren und entfernen, falls keine korrigierte Version bestätigt ist.
• Auf Kompromittierung prüfen: unerwartete PHP-Dateien in Upload- oder Plugin-Verzeichnissen, neue Administratorkonten und unbekannte ausgehende Verbindungen.
• Webserver-Logs auf ungewöhnliche Anfragen an Seiten mit dem Shortcode [mb_board] überwachen.
• Weitere offene Mang-Board-CVEs verfolgen, da mehrere Advisories von 2026 dieses Plugin betreffen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence advisory www.wordfence.com
• WordPress.org plugin page: Mang Board wordpress.org
• WordPress.org changeset 3738898 plugins.trac.wordpress.org
• Plugin source func.board.php at tag 2.4.3 plugins.trac.wordpress.org
• GitHub issue 1915 (CISA KEV status snapshot) github.com
• Vulners CVE record CVE-2026-104909 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:10.