Mang Board WP-Plugin: Unbeschränkter Datei-Upload ermöglicht Web-Shell-Upload
Zusammenfassung
Das WordPress-Plugin Mang Board WP bis und mit Version 2.4.4 erlaubt den Upload von Dateien mit gefährlichem Typ ohne ausreichende Einschränkung. Ein Angreifer kann eine Web-Shell auf den Webserver hochladen, was Codeausführung auf Serverebene und die vollständige Übernahme der Website ermöglicht. Die CVE-Daten und Quellen geben einen CVSS-Wert von 9.9 (kritisch) an, der NVD-Eintrag ist jedoch noch zurückgestellt, weshalb die Bewertung nicht durch NVD verifiziert ist. Gemäss Research-Notizen könnte der Upload ohne Authentifizierung erreichbar sein, obwohl der CVSS-Vektor niedrige Berechtigungen angibt; dies bleibt unbestätigt.
Betroffen
- Mang Board WP-Plugin (WordPress) bis und mit 2.4.4
Behoben in
- Mang Board WP 2.4.5 (gemäss Patchstack und CVE-Eintrag)
Umgehung
- Unbekannt. In den Quellen ist ausser dem Aktualisieren kein Workaround dokumentiert.
- Unbestätigt: Das Deaktivieren von Gastbeiträgen im Board könnte die Exposition bis zum Update verringern.
Ausnutzung
- Nicht bestätigt in freier Wildbahn ausgenutzt; in den geprüften Quellen nicht als bekannt ausgenutzt (KEV) geführt.
- Patchstack erwartet eine Ausnutzung, dies ist jedoch eine Prognose und kein beobachteter Angriff.
- Kein öffentlicher Proof of Concept bestätigt. CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Das Mang Board WP-Plugin sofort auf Version 2.4.5 oder neuer aktualisieren, auf jeder WordPress-Website, auf der es installiert ist.
- Falls ein Update nicht sofort möglich ist, das Plugin deaktivieren oder den Webentwickler bzw. Hosting-Provider um Unterstützung bitten.
- Upload-Verzeichnisse und Webroot auf unerwartete PHP- oder Skriptdateien prüfen und Webserver-Logs auf verdächtige Uploads durchsehen, insbesondere wenn das Plugin während der öffentlichen Erreichbarkeit ungepatcht war.
- Die Fix-Version im WordPress.org-Changelog bestätigen, bevor das Ticket geschlossen wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- OpenCVE app.opencve.io
- VulDB vuldb.com
- Strix www.strix.ai
- CVE-2026-109219 (Vulners) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:01.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.