HivePress: Code-Injection ermöglicht Remote Code Inclusion im WordPress-Plugin

Zusammenfassung

HivePress, ein WordPress-Plugin für Verzeichnis-Websites, enthält bis und mit Version 1.7.32 eine Code-Injection-Schwachstelle (CWE-94), die Remote Code Inclusion ermöglicht. Laut Patchstack-Advisory kann ein Angreifer mit einem Konto mit niedrigen Rechten, etwa einem Contributor, Befehle auf dem Webserver ausführen. Der genaue Mechanismus und die verwundbare Komponente sind in den geprüften Quellen nicht beschrieben. Die CNA bewertet das Problem mit CVSS 9.9, VulDB führt 6.3, und die NVD-Analyse ist ausstehend.

Betroffen

• HivePress bis und mit 1.7.32 (CNA-Bereich: from n/a through 1.7.32)

Behoben in

• HivePress 1.8.0 (im Patchstack-Advisory als gepatchte Version und im CVE-Eintrag als Lösung aufgeführt)
• 1.8.1 ist die neueste Version, die in der Recherche gefunden wurde; die behobene Version vor dem Update auf WordPress.org bestätigen

Umgehung

Unbekannt. Es ist kein Workaround auf Plugin-Ebene dokumentiert. Patchstack bietet seinen Kunden bis zum Update eine Mitigation-Regel an.

Ausnutzung

• Nicht in der CISA KEV aufgeführt.
• CISA-SSVC-Bewertung: Exploitation none, automatable no.
• VulDB: kein verfügbarer Exploit.
• Ein GitHub-Pull-Request mit dem Titel 'Add CVE-2026-110887 research package' wurde am 20. Oktober 2026 zusammengeführt. Dessen Inhalt wurde nicht geprüft, daher ist er als möglicher öffentlicher Proof of Concept zu behandeln.
• Patchstack erwartet Ausnutzung und Massenangriffe.

Unsere Empfehlung

• HivePress auf 1.8.0 oder neuer aktualisieren, vorzugsweise auf die neueste Version, nach Prüfung des Patchstack-Advisory oder des WordPress.org-Changelogs.
• Alle WordPress-Websites mit HivePress inventarisieren und deren Versionen erfassen.
• Benutzerregistrierung sowie Contributor- und Vendor-Rollen prüfen und nicht benötigte Konten entfernen.
• Logs auf Anzeichen einer Kompromittierung prüfen, etwa unbekannte Dateien oder neue Administratorkonten.
• Code aus dem möglichen Proof of Concept nicht auf Produktivsystemen ausführen.
• Den NVD-Eintrag nach Abschluss der Analyse erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory for HivePress plugin up to 1.7.32 patchstack.com
• HivePress 1.8.0 release notes github.com
• HivePress 1.8.1 announcement community.hivepress.io
• VulDB entry 422298 vuldb.com
• OpenCVE entry for CVE-2026-110887 app.opencve.io
• GitHub pull request: research package (possible PoC, not reviewed) github.com
• HOL Guard entry for CVE-2026-110887 hol.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:15.