File Upload to Order WordPress-Plugin: Nicht authentifizierte beliebige Dateilöschung
Zusammenfassung
Das WordPress-Plugin File Upload to Order vor Version 1.1.4 prüft einen Dateipfad aus vom Angreifer kontrollierten Session-Daten nicht, bevor die Datei gelöscht wird. Die Löschaktion ist ohne Authentifizierung erreichbar. Ein nicht authentifizierter Angreifer kann dadurch beliebige Dateien auf dem Server löschen, und das Löschen wichtiger Dateien kann zur vollständigen Kompromittierung der WordPress-Website führen.
Betroffen
- File Upload to Order WordPress-Plugin, alle Versionen vor 1.1.4
- Hersteller und genaue Produktseite nicht durch die Quellen bestätigt
Behoben in
- Version 1.1.4 (gemäss CVE-Beschreibung und WPScan; noch nicht durch das Änderungsprotokoll des Plugins bestätigt)
Umgehung
Unbekannt.
Ausnutzung
- CISA KEV: nicht gelistet
- In den geprüften Quellen ist kein öffentlicher Exploit bestätigt
- Ausnutzung in freier Wildbahn: unbekannt
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial
- EPSS-Werte widersprechen sich zwischen den Quellen (0% bis 0.19%)
Unsere Empfehlung
- Alle WordPress-Websites inventarisieren und auf das Plugin File Upload to Order prüfen
- Plugin auf Version 1.1.4 oder neuer aktualisieren; ist dies nicht möglich, Plugin deaktivieren und entfernen
- Auf unerklärlich fehlende Dateien oder Website-Fehler achten
- Aktuelle Offline-Backups aufbewahren, damit eine beschädigte Website wiederhergestellt werden kann
- Die fixe Version auf der Produktseite des Plugins prüfen, bevor darauf vertraut wird
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan: File Upload to Order < 1.1.4 - Unauthenticated Arbitrary File Deletion wpscan.com
- EUVD-2026-100893 vulners.com
- PSIRT: CVE-2026-107594 psirt.com
- Vulners / Positive Technologies PT-2026-113672 vulners.com
- Threatint: CVE-2026-107594 cve.threatint.com
- Offseq: CVE-2026-107594 radar.offseq.com
- Strix: CVE-2026-107594 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:15.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.