Strong Testimonials: PHP-Objektinjektion durch Deserialisierung unsicherer Daten
Zusammenfassung
Das WordPress-Plugin Strong Testimonials von WP Chill deserialisiert unsichere Daten, was eine PHP-Objektinjektion (CWE-502) in den Versionen bis und mit 3.3.12 ermöglicht. Ein Angreifer mit einem Konto mit geringen Rechten, etwa einem Subscriber-Konto, kann über das Netzwerk präparierte Eingaben senden und so die Datenverarbeitung auf dem Server manipulieren. Der CVSS-Basiswert beträgt 8.8 mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Zum Zeitpunkt der Recherche war keine Ausnutzung bekannt.
Betroffen
- WordPress-Plugin Strong Testimonials (WP Chill), Versionen bis und mit 3.3.12
- Früheste betroffene Version: Unbekannt.
- Erforderliche Berechtigung laut Patchstack: Konto auf Stufe Subscriber.
Behoben in
- Auf Version 3.3.13 oder neuer aktualisieren, wie im CVE-Eintrag und von Patchstack angegeben.
- Die aktuelle Version auf WordPress.org ist 3.3.16. Ob diese diese CVE ebenfalls behebt, ist nicht bestätigt.
Umgehung
- Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Patchstack empfiehlt eine sofortige Aktualisierung; falls sich das Update verzögert, Registrierungen einschränken und eine WAF oder einen Dienst für virtuelles Patching einsetzen.
Ausnutzung
- Bekannt ausgenutzt: Nein (CISA SSVC: keine Ausnutzung, nicht automatisierbar).
- Öffentlicher Proof of Concept: keiner gefunden.
- Patchstack stuft das Problem als hohe Priorität ein und erwartet eine Ausnutzung.
Unsere Empfehlung
- Plugin auf Version 3.3.13 oder neuer aktualisieren, vorzugsweise auf die aktuelle Version, und die installierte Version überprüfen.
- Benutzerkonten mit Rolle Subscriber oder höher auf betroffenen Websites prüfen und nicht benötigte Konten entfernen.
- Offene Registrierung einschränken, wo sie nicht benötigt wird.
- Websites auf ungewöhnliche Aktivitäten überwachen und das Plugin im regulären Update-Zyklus halten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory: PHP Object Injection in Strong Testimonials patchstack.com
- Vulners: CVE-2026-107436 vulners.com
- WordPress.org: Strong Testimonials plugin wordpress.org
- Strix: CVE-2026-107436 www.strix.ai
- Vulners Patchstack advisory PATCHSTACK:9C6A56969D4FFB82B016E02297658CD7 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:54.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.