Paid Videochat Turnkey Site: Fehlende Autorisierung (Broken Access Control)
Zusammenfassung
Das WordPress-Plugin Paid Videochat Turnkey Site (ppv-live-webcams) bis und mit Version 7.5.12 prüft Berechtigungen nicht korrekt und ist daher als Broken Access Control eingestuft. Ein nicht authentifizierter Angreifer im Netzwerk kann auf Funktionen zugreifen, die ihm nicht zustehen, wobei die Auswirkungen laut CVSS auf Vertraulichkeit, Integrität und Verfügbarkeit gering sind. Die betroffene Funktion ist in den verfügbaren Quellen nicht bestätigt. Patchstack stuft die Lücke als hohe Priorität ein und erwartet Ausnutzung in Massenkampagnen, eine bestätigte Ausnutzung wurde jedoch nicht gefunden.
Betroffen
- WordPress-Plugin Paid Videochat Turnkey Site (ppv-live-webcams) von n/a bis und mit 7.5.12
- Hersteller: VideoWhisper.com
Behoben in
- Version 7.5.13 oder neuer (gemäss Patchstack und CNA)
- Neueste Version auf WordPress.org zum Zeitpunkt der Recherche: 7.5.17 (nicht unabhängig verifiziert)
Umgehung
Unbekannt.
Kein herstellerspezifischer Workaround gefunden. Patchstack hat eine Schutzregel bereitgestellt, die Angriffe blockiert, bis das Plugin aktualisiert ist.
Ausnutzung
- Nicht als aktiv ausgenutzt gelistet (KEV: No)
- EPSS 0.00265 (sehr niedrig)
- Kein öffentlicher Proof of Concept gefunden; dies ist kein bestätigter Nichtbefund
- CISA SSVC: Ausnutzung none, automatisierbar yes, technische Auswirkung partial
- Patchstack erwartet Ausnutzung und Nutzung in Massenkampagnen
Unsere Empfehlung
- Prüfen, ob das Plugin ppv-live-webcams installiert ist und welche Version aktiv ist
- Auf Version 7.5.13 oder neuer aktualisieren, idealerweise auf die neueste Version
- Falls ein Update nicht sofort möglich ist, den Hosting-Anbieter oder Webentwickler nach der Patchstack-Schutzregel fragen
- Den Patchstack-Hinweis prüfen und die Website auf unberechtigten Zugriff auf Trinkgelder, Wallet- oder Raumtarif-Funktionen kontrollieren
- Logs auf ungewöhnliche Anfragen an das Plugin überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- WordPress.org plugin page (ppv-live-webcams) en-ca.wordpress.org
- Strix CVE record CVE-2026-107426 www.strix.ai
- VulDB entry 419832 vuldb.com
- Vulners CIRCL record CVE-2026-107426 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 03.11.2026 02:06.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.