itthinx Affiliates WordPress-Plugin: PHP Object Injection durch unsichere Deserialisierung
Zusammenfassung
Das WordPress-Plugin Affiliates bis und mit Version 7.0.1 deserialisiert unsichere Daten, was PHP Object Injection ermöglicht. Gemäss der CNA kann die Schwachstelle remote ohne Authentifizierung und ohne Benutzerinteraktion ausgenutzt werden, der CVSS-Basiswert beträgt 9.8. Ein Angreifer, der eine verwundbare WordPress-Website erreichen kann, könnte die Verarbeitung von Daten manipulieren und schädliche Aktionen auf dem Server ausführen.
Betroffen
- Affiliates-Plugin für WordPress, Version 7.0.1 und frühere
- Premium-Editionen (Affiliates Pro, Enterprise): Unbekannt
Behoben in
- Version 7.1.0 des Affiliates-Plugins (gemäss Patchstack)
- Premium-Editionen: Unbekannt
Umgehung
- Kein vom Hersteller dokumentierter Workaround.
- Patchstack bietet eine Virtual-Patching-Option an, diese wurde nicht verifiziert.
Ausnutzung
- In den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bestätigt. Patchstack erwartet aufgrund des Schweregrads eine Ausnutzung.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
- VulDB meldet keinen öffentlich verfügbaren Exploit.
- CISA-KEV-Status: Unbekannt.
Unsere Empfehlung
- Alle WordPress-Websites auf das Affiliates-Plugin prüfen, einschliesslich Pro- und Enterprise-Editionen, und die installierte Version erfassen.
- Auf jeder betroffenen Website auf Version 7.1.0 oder neuer aktualisieren oder den Hosting-Anbieter beziehungsweise die Webentwicklerin bitten, dies zu tun.
- Betroffene Websites auf Hinweise auf eine Kompromittierung prüfen, etwa unerwartete Administratorkonten, veränderte Plugin- oder Theme-Dateien und unbekannte geplante Aufgaben.
- Den NVD-Eintrag und die Release-Notes des Herstellers beobachten, da noch keine Herstellerwarnung bestätigt ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-108291 patchstack.com
- VulnRichment CVE-2026-108291 vulners.com
- VulDB entry 419821 vuldb.com
- WordPress.org Affiliates plugin wordpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:01.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.