Participants Database WordPress-Plugin: PHP Object Injection
Zusammenfassung
Das WordPress-Plugin Participants Database bis und mit Version 2.7.8.5 enthält eine Deserialisierungsschwachstelle (CWE-502), die PHP Object Injection ermöglicht. Gemäss Patchstack kann ein nicht authentifizierter Angreifer die Verarbeitung von Daten manipulieren und schädliche Aktionen auf dem Server ausführen. NVD bewertet die Lücke mit 9.8 (Kritisch), VulDB mit 7.3 (Hoch); Patchstack erwartet eine Massenausnutzung.
Betroffen
- WordPress-Plugin Participants Database bis und mit 2.7.8.5
Behoben in
- Unbekannt. Gemäss Patchstack ist kein offizieller Patch verfügbar.
Umgehung
- Patchstack bietet einen virtuellen Patch (Schutzregel) an, der Angriffe blockiert, bis ein offizieller Fix verfügbar ist. Dies ist eine Massnahme eines Drittanbieters und kein Herstellerfix.
- Falls kein Fix verfügbar ist, das Plugin deaktivieren oder entfernen oder dessen öffentliche Formulare und Endpunkte einschränken.
Ausnutzung
- Bekannte Ausnutzung: Nicht gemeldet.
- Öffentlicher Exploit: VulDB meldet keinen verfügbaren Exploit; in der Recherche wurde kein öffentlicher PoC gefunden.
- Patchstack erwartet eine Ausnutzung der Schwachstelle; dies ist eine Prognose und keine bestätigte Aktivität.
- Es ist keine Authentifizierung erforderlich (Patchstack).
Unsere Empfehlung
- Alle Websites, einschliesslich Staging- und alter Websites, auf das Plugin und dessen Version prüfen.
- Falls das Plugin installiert ist und kein Fix existiert, es deaktivieren oder entfernen oder einen WAF oder virtuellen Patch einsetzen.
- Vor Änderungen ein Backup der Website erstellen.
- Die weiteren 2026-CVEs dieses Plugins (CVE-2026-112860, CVE-2026-112861) prüfen, die ebenfalls als ungepatcht gemeldet werden.
- Die Seiten von Patchstack, NVD und Hersteller auf einen Fix überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-112862 patchstack.com
- VulDB CVE-2026-112862 vuldb.com
- VulDB vulnerability 425609 vuldb.com
- NVD CVE-2026-112862 (via Vulners) vulners.com
- HOL Guard CVE-2026-112862 hol.org
- WPScan Participants Database wpscan.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:53.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.