GS Plugins Team Members: PHP Object Injection durch Deserialisierung unsicherer Daten

Zusammenfassung

Das WordPress-Plugin Team Members – GS Plugins (gs-team-members) bis einschliesslich Version 2.8.2 deserialisiert unsichere Daten, wodurch PHP Object Injection möglich ist. Ein authentifizierter Angreifer mit einem Konto mit niedrigen Berechtigungen, zum Beispiel einem Mitwirkenden-Konto, kann unter Umständen die Verarbeitung von Daten manipulieren und schädliche Aktionen auf dem Server ausführen. Patchstack erwartet eine Ausnutzung, es sind jedoch keine beobachteten Angriffe und kein öffentlicher Proof of Concept bekannt.

Betroffen

• Team Members – GS Plugins (WordPress-Plugin, Slug gs-team-members) bis und mit Version 2.8.2
• Die Versionsangaben unterscheiden sich je nach Quelle; der CVE-Text lautet "from n/a through 2.8.2"

Behoben in

• Version 2.8.3 oder neuer (laut Patchstack). Es ist nicht bestätigt, dass GS Plugins diese Korrektur veröffentlicht hat; die Verfügbarkeit auf wordpress.org oder der Herstellerseite vor dem Rollout prüfen.

Umgehung

• Patchstack empfiehlt ein Update; falls dies nicht möglich ist, den Hosting-Anbieter oder Webentwickler um Unterstützung bitten.
• Es wurde kein Workaround des Herstellers oder der Forscher gefunden.
• Falls das Plugin nicht benötigt wird, deaktivieren und entfernen.
• Selbstregistrierung von Benutzern einschränken und Konten mit niedrigen Berechtigungen überprüfen.

Ausnutzung

• Nicht in der CISA KEV aufgeführt. Die CISA-SSVC-Bewertung lautet Ausnutzung: none und automatisierbar: no.
• Patchstack erwartet eine Ausnutzung; dies ist eine Prognose, kein beobachteter Angriff.
• Kein öffentlicher Proof of Concept gefunden; VulDB gibt an, dass kein Exploit verfügbar ist.
• Die Schweregrade unterscheiden sich: CVSS 8.8 laut CNA-Daten, VulDB-Basiswert 6.3.

Unsere Empfehlung

• Prüfen, ob das Plugin auf WordPress-Websites installiert ist, insbesondere auf aus dem Internet erreichbaren.
• Nach Bestätigung der Verfügbarkeit auf wordpress.org oder beim Hersteller auf Version 2.8.3 oder neuer aktualisieren.
• Falls kein sofortiges Update möglich ist, das Plugin entfernen oder deaktivieren und die Selbstregistrierung einschränken.
• Konten von Mitwirkenden und anderen Konten mit niedrigen Berechtigungen überprüfen und Webserver-Logs auf verdächtige Anfragen überwachen.
• Prüfen, ob weitere Produkte von GS Plugins installiert sind, da am selben Tag eine verwandte Deserialisierungslücke (CVE-2026-110370) veröffentlicht wurde.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory patchstack.com
• wordpress.org plugin page wordpress.org
• VulnCheck/Vulners VULNRICHMENT entry vulners.com
• VulDB entry vuldb.com
• OpenCVE entry app.opencve.io
• Strix CVE entry www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 11:15.