Snazzy Social Media Feed: Beliebiger Datei-Upload führt zu Remote Code Execution

Zusammenfassung

Das WordPress-Plugin Snazzy Social Media Feed bis und mit Version 2.5 erlaubt einen beliebigen Datei-Upload über den Parameter pluginURL des eigenständigen Skripts save-to-cache.php. Das Skript verfügt weder über ein WordPress-Bootstrap noch über Authentifizierungs-, Berechtigungs- oder Nonce-Prüfungen und wendet auf die Eingabe nur FILTER_SANITIZE_URL an. Dadurch wird manipulierter PHP-Code in eine Cache-Datei geschrieben, die mit einem einzigen GET-Request ausgeführt werden kann. Laut CVE-Eintrag kann ein Angreifer mit Subscriber-Zugriff Remote Code Execution erreichen, was die volle Kontrolle über die betroffene WordPress-Website ermöglichen würde; einige Quellen beschreiben die Lücke als nicht authentifiziert, weshalb die erforderliche Zugriffsstufe überprüft werden muss.

Betroffen

• snazzyplugins Snazzy Social Media Feed (WordPress-Plugin), alle Versionen bis und mit 2.5

Behoben in

Unbekannt. Es wurde weder ein Sicherheitshinweis des Herstellers noch eine korrigierte Version bestätigt.

Umgehung

• Plugin deaktivieren und entfernen oder durch ein gewartetes Alternativprodukt ersetzen (bevorzugt)
• Webzugriff auf save-to-cache.php auf dem Webserver oder WAF blockieren, bis das Plugin entfernt ist
• PHP-Ausführung in Upload- und Cache-Verzeichnissen unterbinden

Ausnutzung

• Nicht im CISA KEV enthalten
• Kein öffentlicher Proof-of-Concept-Exploit gefunden; VulDB gibt an, dass technische Details bekannt sind
• Keine Berichte über Ausnutzung in freier Wildbahn gefunden
• CISA SSVC: Automatable ja, Technical Impact total; EPSS etwa 0,9 %

Unsere Empfehlung

• Prüfen, ob das Plugin auf einer WordPress-Website installiert ist, und es wenn möglich entfernen
• Zugriff auf save-to-cache.php bis zur Entfernung blockieren
• save-to-cache.php und cached-content/cached-feed.php prüfen und unerwartete PHP-Dateien untersuchen
• WordPress-Benutzerregistrierung überprüfen, da offene Registrierung das Risiko erhöht
• Webserver-Logs auf Requests zu diesen Dateien überwachen und Konten mit Subscriber-Zugriff prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence advisory www.wordfence.com
• WordPress plugin source save-to-cache.php (L311) plugins.trac.wordpress.org
• WordPress plugin source save-to-cache.php (L70) plugins.trac.wordpress.org
• Vulners CVE record vulners.com
• VulDB entry vuldb.com
• Positive Technologies PT-2026-113604 vulners.com
• Strix CVE record www.strix.ai
• Patchstack arbitrary file upload overview patchstack.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 18:05.