rtMedia WordPress-Plugin: Path Traversal führt zur Löschung beliebiger Dateien

Zusammenfassung

Das Plugin rtMedia für WordPress, BuddyPress und bbPress bis und mit Version 4.7.13 enthält eine Path-Traversal-Schwachstelle (CWE-22). Gemäss CVSS-Vektor kann ein nicht authentifizierter Angreifer über das Netzwerk beliebige Dateien auf dem Webserver löschen, was die Website beschädigen kann. Patchstack stuft die Lücke als hohe Priorität ein und erwartet eine Ausnutzung, die öffentlichen Quellen markieren sie jedoch nicht als bekannt ausgenutzt.

Betroffen

• rtMedia für WordPress, BuddyPress und bbPress, Versionen von n/a bis und mit 4.7.13
• Untere Grenze des betroffenen Bereichs: Unbekannt.
• Die verwandte CVE-2026-89301 betrifft dieselben Versionen und ist eine separate, eingeschränkte Dateilöschung über Sideloading.

Behoben in

• Version 4.7.14 oder neuer (gemäss Patchstack sowie den Angaben des Herstellers auf WordPress.org und GitHub).
• Hinweis: Kein Changelog nennt diese CVE explizit; die Zuordnung der Behebung ist noch nicht durch eine offizielle Mitteilung von rtCamp bestätigt.

Umgehung

• Unbekannt. Es ist kein Workaround des Herstellers oder ein verifizierter Workaround dokumentiert.
• Patchstack erwähnt eine Mitigationsregel, die Angriffe blockiert, bis das Plugin aktualisiert ist, sofern der Patchstack-Dienst genutzt wird.

Ausnutzung

• Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird; nicht im CISA-KEV-Katalog aufgeführt.
• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• EPSS 0.0041 (Rapid7-Daten).
• Kein öffentlicher Proof-of-Concept in der Recherche gefunden.

Unsere Empfehlung

• Inventarisieren Sie WordPress-Websites mit rtMedia und prüfen Sie, ob Version 4.7.13 oder älter läuft.
• Aktualisieren Sie rtMedia umgehend auf Version 4.7.14 oder neuer und prüfen Sie die Behebung anhand der Patchstack-Mitteilung.
• Falls ein Update nicht sofort möglich ist, deaktivieren Sie das Plugin oder schränken Sie den Zugriff darauf vorübergehend ein.
• Falls das Plugin nicht benötigt wird, entfernen Sie es.
• Prüfen Sie die Dateiintegrität und die Backups auf gelöschte Dateien und verfolgen Sie die Kanäle von Patchstack und rtCamp.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory patchstack.com
• WordPress.org plugin listing wordpress.org
• GitHub release 4.7.14 github.com
• HOL Guard CVE entry hol.org
• Strix CVE entry www.strix.ai
• Rapid7 via Vulners (EPSS) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:44.