MainWP Child: Deserialisierung nicht vertrauenswürdiger Daten (PHP Object Injection)

Zusammenfassung

Das WordPress-Plugin MainWP Child bis einschliesslich Version 6.2.1 enthält eine Deserialisierungs-Schwachstelle (CWE-502), die PHP Object Injection erlaubt. Gemäss CVSS-Vektor kann ein nicht authentifizierter Angreifer manipulierte Daten senden, wobei jedoch eine privilegierte Person eine Aktion ausführen muss, etwa einen Link anklicken oder ein Formular absenden. Eine erfolgreiche Ausnutzung könnte es Angreifern ermöglichen, Befehle auszuführen oder zusätzliche Rechte auf der betroffenen WordPress-Seite zu erlangen. Da das Plugin Seiten mit dem MainWP Dashboard verbindet, könnte eine kompromittierte Seite auch weitere verwaltete Seiten gefährden.

Betroffen

• MainWP Child Plugin für WordPress, Versionen bis einschliesslich 6.2.1
• CVSS 8.8 (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H) gemäss CVE-Eintrag; VulDB nennt 6.3 (Mittel)

Behoben in

• Auf MainWP Child 6.2.2 oder neuer aktualisieren (gemäss CVE-Lösungsangabe, Patchstack und WPScan; das offizielle Advisory von MainWP wurde nicht bestätigt)

Umgehung

Unbekannt.

Ausnutzung

• Nicht als ausgenutzt bekannt (KEV: Nein)
• VulDB: keine öffentlichen technischen Details oder Exploits verfügbar
• Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung
• EPSS: 0,25 %

Unsere Empfehlung

• Alle WordPress-Seiten mit MainWP Child inventarisieren und deren Versionen erfassen
• Alle betroffenen Seiten so rasch wie möglich auf MainWP Child 6.2.2 oder neuer aktualisieren
• MainWP Child auf Seiten entfernen oder deaktivieren, die nicht mehr verwaltet werden
• Die Verbindungseinstellungen im Dashboard und die Konfiguration der Unique Security ID überprüfen
• Die Advisories von Patchstack und MainWP auf Änderungen der korrigierten Version oder des CVSS-Werts prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory for MainWP Child 6.2.1 patchstack.com
• VulDB entry 415485 vuldb.com
• Secondary feed (HOL Guard) for CVE-2026-105436 hol.org
• Strix CVE record for CVE-2026-105436 www.strix.ai
• CVE record mirror (threatint) cve.threatint.com
• EPSS and metadata (Vulners, Rapid7) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:12.