MailOptin WordPress-Plugin: Unauthentifizierte Rechteerweiterung über Formular-Mappings

Zusammenfassung

Das MailOptin-Plugin für WordPress bis einschliesslich 1.2.78.6 akzeptiert vom Angreifer gelieferte Feld-Mappings im Endpunkt subscribe_to_email_list, ohne die Zielschlüssel zu validieren. Ein nicht angemeldeter Angreifer kann damit das Passwort eines beliebigen bestehenden Kontos überschreiben, auch dasjenige von Administratoren, indem er die Benutzer-ID des Ziels und ein vorgehashtes Passwort angibt. Voraussetzung ist ein öffentlich eingebundenes WordPress-User-Registration-Opt-in-Formular, dessen UUID im Seitenquelltext sichtbar ist. Der CNA bewertet die Lücke mit CVSS 9.8 (Critical).

Betroffen

• MailOptin-Plugin für WordPress, alle Versionen bis einschliesslich 1.2.78.6
• Hersteller gemäss CVE-Eintrag: properfraction

Behoben in

• Version 1.2.78.7 (WordPress.org-Changelog: ungesäuberter Feld-Mapping-Parameter behoben)

Umgehung

• Öffentliche Benutzerregistrierungs-Formulare des Plugins nach Möglichkeit deaktivieren
• Plugin bis zur Aktualisierung deaktivieren
• Serverseitige WAF-Regeln für verdächtige form_custom_field_mappings-Werte (nur als Übergangslösung)

Ausnutzung

• Unauthentifizierte Ausnutzung ist möglich, wenn ein User-Registration-Opt-in-Formular veröffentlicht ist
• Ein Eintrag im VulnCheck-KEV-Katalog existiert, ist aber nicht bestätigt; keine andere Quelle bestätigt aktive Angriffe
• Kein öffentlicher Proof of Concept gefunden
• CISA SSVC: automatisierbar ja, technische Auswirkung total

Unsere Empfehlung

• Prüfen, ob MailOptin auf einer Website installiert ist und welche Version läuft
• Jetzt auf Version 1.2.78.7 oder neuer aktualisieren
• Falls kein Update möglich ist, das Plugin oder seine öffentlichen Registrierungsformulare deaktivieren
• Benutzerkonten auf unerwartete Administratoren und kürzliche Passwortänderungen prüfen; Tabelle wp_users kontrollieren
• Den KEV-Status und allfällige öffentliche Exploits überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence entry www.wordfence.com
• WordPress changeset 3744644 (Subscription.php) plugins.trac.wordpress.org
• MailOptin vulnerable Subscription.php (tag 1.2.78.5) plugins.trac.wordpress.org
• MailOptin WordPress.org plugin page wordpress.org
• VulDB CVE-2026-109515 vuldb.com
• VulnCheck KEV entry via Vulners vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:44.