Blocksy Companion: Nicht authentifizierte Rechteerweiterung auf Dokan-Verkäuferrolle

Zusammenfassung

Blocksy Companion bis einschliesslich 2.1.58 erlaubt es nicht authentifizierten Angreifern, Konten mit einem manipulierten Rollenparameter zu registrieren. Auf Websites, die zusätzlich das Marktplatz-Plugin Dokan betreiben, kann ein Angreifer so ein Dokan-Verkäuferkonto (Vendor) erhalten und wird automatisch angemeldet. Die Schwachstelle umgeht die Einstellung zur Vendor-Registrierung in Dokan, weshalb sie auch dort wirkt, wo die Anmeldung als Verkäufer deaktiviert ist. Die Schwachstelle wird als kritisch eingestuft (CVSS 9.1).

Betroffen

• Blocksy Companion 2.1.58 und alle früheren Versionen
• Nur Websites, auf denen zusätzlich Dokan aktiv ist
• Blocksy-Theme-Versionen vor 2.1.59 sind möglicherweise ebenfalls betroffen (Zeitpunkt der Veröffentlichung durch den Hersteller)

Behoben in

• Blocksy Companion 2.1.59 (veröffentlicht am 08.10.2026), Changelog: "Account modal – respect Dokan vendor registration setting."

Umgehung

• Keine Workaround-Massnahme vom Hersteller dokumentiert.
• Falls kein Patch möglich ist, den betroffenen AJAX-Endpunkt mit Regeln einer Web Application Firewall einschränken (Zweitquelle VulDB).
• Benutzerliste auf unerwartete Konten mit der Dokan-Verkäuferrolle prüfen.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept gefunden.
• EPSS etwa 0.003 (niedrig).
• Laut einem Aggregator nicht im CISA-KEV-Katalog; der Katalog sollte direkt geprüft werden.
• Die niedrige Hürde (keine Anmeldung, keine Benutzerinteraktion) macht eine automatisierte Ausnutzung nach breiter Bekanntmachung plausibel (Einschätzung).

Unsere Empfehlung

• Blocksy Companion auf 2.1.59 oder neuer aktualisieren und die Version des Blocksy-Themes prüfen.
• Inventar der WordPress-Websites erstellen, auf denen Blocksy Companion und Dokan laufen.
• Kürzlich erstellte Konten mit der Dokan-Verkäuferrolle prüfen und unbekannte entfernen.
• Protokolle auf neue Verkäuferregistrierungen aus unbekannten Quellen prüfen.
• Neue Benutzerregistrierungen, insbesondere mit der Verkäuferrolle, überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intel record www.wordfence.com
• Fix changeset 3735192 (blocksy-companion 2.1.59) plugins.trac.wordpress.org
• Vulnerable code in blocksy-companion 2.1.58 account-auth.php plugins.trac.wordpress.org
• WordPress.org plugin page Blocksy Companion en-gb.wordpress.org
• VulDB CVE-2026-107645 vuldb.com
• Vulners Rapid7 record CVE-2026-107645 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:02.