WP Mailster-Plugin: Unauthentifizierter beliebiger Datei-Upload (Web Shell)
Zusammenfassung
Das WordPress-Plugin WP Mailster bis und mit Version 1.9.1.0 erlaubt das Hochladen beliebiger Dateien. Ein nicht authentifizierter Angreifer aus dem Netz kann eine Web Shell auf den Webserver hochladen und dort Code ausführen. Eine erfolgreiche Ausnutzung kann zur vollständigen Übernahme der WordPress-Website und zum Diebstahl von Daten führen. Der CVSS-Basiswert beträgt 10.0 (CRITICAL), die Analyse durch die NVD steht jedoch noch aus.
Betroffen
- WP Mailster (WordPress-Plugin) bis und mit Version 1.9.1.0
- Entwickler laut Patchstack: "WP Mailster"; die Identität des Herstellers konnte nicht unabhängig bestätigt werden
Behoben in
- Version 1.9.2.0 (gepatchte Version laut Patchstack; auf 1.9.2.0 oder neuer aktualisieren)
Umgehung
- Kein vom Hersteller dokumentierter Workaround bekannt.
- Patchstack meldet eine Virtual-Patch-Regel, die Angriffe bis zur Aktualisierung des Plugins blockiert; deren Abdeckung konnte nicht überprüft werden.
- Das Blockieren der PHP-Ausführung in Upload-Verzeichnissen ist eine allgemeine Härtungsmassnahme und keine Empfehlung des Herstellers.
Ausnutzung
- Bekannt ausgenutzt: Nein (gemäss den verfügbaren Quellen, einschliesslich HOL und Strix).
- Öffentlicher Proof of Concept: keiner gefunden (VulDB gibt an, dass kein Exploit verfügbar ist).
- Patchstack erwartet eine Ausnutzung; dies ist eine Prognose und kein beobachtetes Ereignis.
- Erforderliche Berechtigung: keine; keine Benutzerinteraktion erforderlich.
Unsere Empfehlung
- Alle Websites mit WP Mailster identifizieren und deren Versionen prüfen.
- Sofort auf Version 1.9.2.0 oder neuer aktualisieren.
- Falls ein Update nicht sofort möglich ist, einen Virtual Patch aktivieren oder den Zugriff auf die betroffenen Endpunkte einschränken.
- Auf verwundbaren und exponierten Websites in Upload- und Plugin-Verzeichnissen nach unerwarteten PHP-Dateien suchen und die aktuellen Zugriffsprotokolle prüfen.
- Patchstack und NVD auf Änderungen des Ausnutzungsstatus überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-111832 patchstack.com
- WordPress.org plugin page WP Mailster wordpress.org
- VulDB entry 424826 vuldb.com
- OpenCVE CVE-2026-111832 app.opencve.io
- HOL Guard CVE-2026-111832 hol.org
- Strix CVE-2026-111832 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:05.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.