Broadcast Live Video: Session Fixation ermöglicht Session Hijacking
Zusammenfassung
Das WordPress-Plugin Broadcast Live Video (videowhisper-live-streaming-integration) von VideoWhisper.com enthält in Versionen bis und mit 7.3.2 eine Session-Fixation-Schwachstelle (CWE-384). Gemäss den CVE-Daten kann ein nicht authentifizierter Angreifer die Sitzung eines angemeldeten Benutzers übernehmen und in dessen Namen handeln, ohne das Passwort zu kennen. Der CVSS-3.1-Wert beträgt 7.3 (über das Netzwerk erreichbar, keine Berechtigungen oder Benutzerinteraktion nötig). Patchstack stuft die Schwachstelle als hohe Priorität ein, in den geprüften Quellen ist jedoch keine bestätigte Ausnutzung belegt.
Betroffen
- VideoWhisper.com Broadcast Live Video (WordPress-Plugin videowhisper-live-streaming-integration), Versionen bis und mit 7.3.2
- Versionen vor 7.3.3 gelten gemäss CNA-Eintrag als betroffen
Behoben in
- Auf Version 7.3.3 oder neuer aktualisieren (Minimum gemäss CNA-Eintrag und Patchstack)
- Neuere Versionen sind auf wordpress.org verfügbar; die Auflistung zeigt Versionen über 7.3.3 hinaus
Umgehung
Unbekannt. Der Hersteller hat für diese CVE keine Workaround-Massnahme veröffentlicht. Die empfohlene Massnahme ist das Aktualisieren. Nach dem Update kann als allgemeine Praxis erwogen werden, bestehende Sitzungen angemeldeter Benutzer zu beenden; dies ist keine Empfehlung des Herstellers.
Ausnutzung
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell
- CISA KEV: gemäss den geprüften Quellen nicht gelistet
- In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden
- Patchstack erwartet eine Ausnutzung und hat eine Schutzregel bereitgestellt
Unsere Empfehlung
- Prüfen, ob WordPress-Sites das Plugin Broadcast Live Video einsetzen, einschliesslich Test- und Staging-Systemen
- Plugin auf die aktuelle Version von wordpress.org aktualisieren (mindestens 7.3.3)
- Nach dem Update bestehende Benutzersitzungen beenden
- Logs auf ungewöhnliche Anmeldungen und Sitzungsaktivitäten überwachen
- Weitere veröffentlichte CVEs des Plugins prüfen, da ältere Versionen weitere ungepatchte Probleme haben können
- Betroffenen Bereich und Fixversion mit dem Patchstack-Advisory und dem NVD-Eintrag abgleichen, da der NVD-Status derzeit Deferred ist
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory: Session Hijacking in Broadcast Live Video plugin patchstack.com
- CVE Program record (cvelistV5 release) github.com
- OSV entry AZL-107421 osv.dev
- Vulners VulnRichment: CVE-2026-107421 vulners.com
- Strix CVE details: CVE-2026-107421 www.strix.ai
- OffSeq radar: CVE-2026-107421 radar.offseq.com
- WordPress plugin listing: Broadcast Live Video wordpress.org
- WPScan plugin page: Broadcast Live Video wpscan.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 03.11.2026 02:05.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.