Patreon WordPress-Plugin: Cross-Site Request Forgery
Zusammenfassung
Das Patreon WordPress-Plugin (patreon-connect) bis und mit Version 1.9.17 enthält eine Cross-Site Request Forgery-Schwachstelle (CWE-352). Ein Angreifer kann einen angemeldeten Benutzer, typischerweise einen WordPress-Administrator, dazu bringen, eine präparierte Seite aufzurufen, die ungewollte Aktionen auf der Website auslöst. Die betroffene Funktion ist öffentlich nicht dokumentiert, und der CVSS-Vektor setzt eine Benutzerinteraktion voraus, mit hohen Auswirkungen auf Vertraulichkeit und Integrität.
Betroffen
- Patreon WordPress-Plugin (patreon-connect) bis und mit 1.9.17
Behoben in
- Version 1.10.0 oder neuer (Patchstack).
- Die installierte Version prüfen, da die verwandte CVE-2026-108481 mindestens 1.11.0 voraussetzt.
- Neueste Version gemäss Plugin-Eintrag: 1.13.0.
Umgehung
- Dem Hersteller ist keine Workaround-Massnahme bekannt.
- Falls ein Update nicht sofort möglich ist, das Plugin deaktivieren, sofern es nicht zwingend benötigt wird.
- Administratoren sollten sich nach Arbeiten im Adminbereich abmelden und während der Anmeldung keine anderen Websites besuchen.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn; nicht im CISA KEV aufgeführt.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar.
- VulDB: kein verfügbarer Exploit.
- EPSS sehr niedrig (0.00128).
Unsere Empfehlung
- Alle WordPress-Websites mit patreon-connect in Version 1.9.17 oder älter identifizieren.
- Auf die neueste Version aktualisieren, mindestens 1.10.0, und die installierte Version prüfen.
- Das Plugin entfernen, falls es nicht verwendet wird.
- Sicherstellen, dass sich Administratoren nach Arbeiten im Adminbereich abmelden und während der Anmeldung keine anderen Websites besuchen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- OpenCVE CVE-2026-108479 app.opencve.io
- VulDB 417108 vuldb.com
- HOL Guard CVE-2026-108479 hol.org
- HOL Guard CVE-2026-108481 (related) hol.org
- Rapid7 via Vulners vulners.com
- WPScan CSRF precedent wpscan.com
- InstaWP plugin listing instawp.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:58.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.