aBlocks WordPress-Plugin: Privilegienerweiterung über roleSlug-Block-Attribut

Zusammenfassung

Das WordPress-Plugin aBlocks bis und mit Version 2.17.0 enthält eine Privilegienerweiterung im REST-Endpunkt /ablocks/v1/form-builder/registration. Der Endpunkt liest den roleSlug-Wert aus Block-Attributen im Beitragsinhalt, ohne zu prüfen, ob der Formulartyp registration ist. Ein authentifizierter Benutzer mit mindestens Contributor-Rechten kann so seine WordPress-Rolle auf Editor oder eine andere Nicht-Administrator-Rolle anheben und eine neue authentifizierte Sitzung auf dieser Stufe erhalten. Rollen mit administrativen Berechtigungen sind durch eine Prüfung im Plugin ausgeschlossen.

Betroffen

• aBlocks (kodezen) Versionen 0 bis und mit 2.17.0
• WordPress-Installationen mit aktiviertem aBlocks-Plugin

Behoben in

• Auf eine Version neuer als 2.17.0 aktualisieren. Drittquellen nennen 2.17.1, dies ist jedoch im Changelog oder in der Herstellerwarnung nicht bestätigt.

Umgehung

• Keine vom Hersteller bestätigte Massnahme bekannt.
• Prüfen, welche Benutzer Contributor- oder höhere Rechte besitzen, und nicht benötigte Konten entfernen.
• Auf kürzlich erfolgte Rollenänderungen zu Editor oder höher prüfen.

Ausnutzung

• Aktive Ausnutzung in freier Wildbahn: Unbekannt. Die Quellen melden keine bekannte Ausnutzung.
• Öffentlicher Proof of Concept: keiner gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• aBlocks-Plugin auf die neueste Version aktualisieren, sobald eine gefixte Version vom Hersteller bestätigt ist; 2.17.0 als betroffen behandeln.
• Alle Konten mit Contributor- oder höheren Rechten prüfen und auf unerwartete Rollenänderungen zu Editor oder höher kontrollieren.
• Nicht benötigte Konten entfernen und Selbstregistrierung sowie Gastbeiträge einschränken.
• Auf öffentlichen Proof-of-Concept-Code und Herstellerwarnungen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• aBlocks WordPress plugin page wordpress.org
• Wordfence vulnerability record www.wordfence.com
• Registration form controller (plugin source 2.16.0) plugins.trac.wordpress.org
• Registration form sanitizer (plugin source 2.16.0) plugins.trac.wordpress.org
• VulDB CVE entry vuldb.com
• HOL Guard CVE entry hol.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:37.