VikRentCar Car Rental Management System: CSRF zu Remote Code Execution

Zusammenfassung

Das Plugin VikRentCar Car Rental Management System für WordPress, Versionen bis einschliesslich 1.4.8, validiert Nonces in der AJAX-Funktion condtext_update_tmpl nicht korrekt. Ein nicht authentifizierter Angreifer kann eine gefälschte Anfrage senden, die den Browser eines angemeldeten Administrators veranlasst, PHP-Code in Template-Dateien des Plugins zu schreiben. Diese Dateien werden anschliessend vom Plugin eingebunden und auf dem Server ausgeführt. Voraussetzung ist, dass ein Administrator dazu verleitet wird, während der Anmeldung eine Aktion wie das Anklicken eines Links auszuführen.

Betroffen

• Plugin VikRentCar Car Rental Management System für WordPress, alle Versionen bis einschliesslich 1.4.8

Behoben in

Unbekannt. Die korrigierte Version ist in den verfügbaren Quellen weder vom Hersteller noch von Wordfence bestätigt. Das Changelog zu 1.4.9 erwähnt ergänzte CSRF-Token-Validierung, was darauf hindeutet, dass 1.4.9 die erste nicht betroffene Version ist, dies ist jedoch nicht verifiziert.

Umgehung

Unbekannt. Es wurde kein Workaround des Herstellers und kein Virtual Patch für diese CVE identifiziert.

• Bis zum Update sollten Administratoren keine unbekannten Links anklicken, während sie bei WordPress angemeldet sind, und sich beim Surfen ausserhalb des Admin-Bereichs abmelden.
• Template-Dateien unter site/helpers/ (zum Beispiel email_tmpl.php) auf unerwarteten PHP-Code prüfen und mit einer sauberen Kopie des Plugins vergleichen. Dies ist eine Erkennungsmassnahme, keine Behebung.

Ausnutzung

• Zum Zeitpunkt der Recherche ist keine Ausnutzung in freier Wildbahn bekannt.
• Es wurde kein öffentlicher Proof-of-Concept oder Exploit gefunden; VulDB gibt an, dass kein Exploit verfügbar ist.
• Laut einem Drittanbieter-Tracker nicht im CISA-KEV-Katalog aufgeführt; der CISA-Katalog wurde nicht direkt geprüft.
• EPSS: 0.32 % (Perzentil 24).

Unsere Empfehlung

• VikRentCar auf die neueste verfügbare Version aktualisieren, mindestens 1.4.9, und die korrigierte Version anhand der Wordfence-Meldung bestätigen.
• Bis zum Update den Administrator-Zugang auf vertrauenswürdige Browser beschränken und im angemeldeten WordPress-Admin-Bereich nicht im Web surfen.
• Template-Dateien des Plugins auf unerwarteten PHP-Code prüfen; Administratorkonten und kürzliche Dateiänderungen überprüfen, falls die Website während der Verwundbarkeit exponiert war.
• Das gesamte Plugin aktualisieren, da weitere offene Schwachstellen dasselbe Produkt betreffen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence advisory for CVE-2026-111120 www.wordfence.com
• VikRentCar on WordPress.org wordpress.org
• Trac changeset 3755596 for vikrentcar plugins.trac.wordpress.org
• VulDB entry for CVE-2026-111120 vuldb.com
• OffSeq radar entry for CVE-2026-111120 radar.offseq.com
• Strix AI entry for CVE-2026-111120 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:38.