10Web Booster: Unauthentifizierter Upload beliebiger Dateien führt zu Remote Code Execution

Zusammenfassung

Das WordPress-Plugin 10Web Booster (Optimierung der Website-Geschwindigkeit, Caching und Bildoptimierung) bis einschliesslich Version 2.34.10 prüft in der Funktion compressCustom weder Dateitypen noch Dateiendungen. Ein REST-Nonce, den das Plugin beim Pausieren eines Optimierungsstapels in eine für alle lesbare Datei unter wp-content/uploads/ schreibt, kann von nicht angemeldeten Besuchern verwendet werden. Ein Angreifer kann dadurch Dateien hochladen, die ausführbar sein können, was zu Remote Code Execution auf dem Webserver führen kann.

Betroffen

• 10Web Booster (Slug tenweb-speed-optimizer), alle Versionen bis einschliesslich 2.34.10
• Standardkonfiguration: nicht betroffen

Behoben in

• Version 2.34.11 (Changelog auf WordPress.org: Sicherheitshärtung der Warteschlange zur Bildoptimierung und der REST-API; die CVE wird dort nicht genannt)

Umgehung

• Plugin deaktivieren und deinstallieren, falls kein Update möglich ist.
• Zugriff auf die Upload-Pfade des Plugins einschränken und auf ungewöhnliche HTTP-Anfragen an diese Pfade überwachen.

Ausnutzung

• CVSS 9.8 (KRITISCH), über das Netzwerk erreichbar, geringe Komplexität, keine Berechtigungen und keine Benutzerinteraktion erforderlich.
• CISA SSVC: automatisierbar ja, technische Auswirkung total; Ausnutzungsstatus 'none'.
• Nicht in der CISA KEV aufgeführt.
• Ein öffentlicher Proof of Concept wurde in der Recherche nicht gefunden; dies ist unbestätigt, nicht ausgeschlossen.

Unsere Empfehlung

• Plugin auf allen WordPress-Seiten auf Version 2.34.11 oder neuer aktualisieren.
• Falls kein Update möglich ist, Plugin deaktivieren und deinstallieren.
• Auf Seiten mit einer betroffenen Version wp-content/uploads/ und das Plugin-Verzeichnis auf unerwartete PHP- oder andere ausführbare Dateien prüfen.
• Vom Plugin erstellte, für alle lesbare serialisierte Dateien unter wp-content/uploads/ suchen und entfernen.
• Webserver-Logs auf ungewöhnliche Anfragen an Upload-Endpunkte überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence record www.wordfence.com
• WPScan plugin page (fixed in 2.34.11) wpscan.com
• WordPress.org plugin page and changelog wordpress.org
• Trac changeset 3743299 plugins.trac.wordpress.org
• VulDB vulnerability 420469 vuldb.com
• Positive Technologies record PT-2026-114758 vulners.com
• OpenCVE record app.opencve.io
• Vulners CVE list record vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:53.