GEO my WordPress Plugin: Fehlende Autorisierung führt zu Broken Access Control
Zusammenfassung
Das WordPress-Plugin GEO my WordPress (geo-my-wp) in den Versionen bis und mit 4.5.5.5 verfügt über unzureichende Autorisierungsprüfungen. Gemäss CNA kann ein nicht authentifizierter Angreifer aus dem Netzwerk auf Funktionen oder Daten zugreifen, für die er keine Berechtigung hat, mit hoher Auswirkung auf die Vertraulichkeit. Die Gefährdung hängt davon ab, ob eine öffentlich erreichbare WordPress-Seite das betroffene Plugin einsetzt.
Betroffen
- WordPress-Plugin GEO my WordPress (geo-my-wp), Versionen bis und mit 4.5.5.5
- Hinweis: Eine Quelle enthält widersprüchliche Angaben („any version affected“); der betroffene Bereich ist gegenüber dem Patchstack-Advisory nicht verifiziert.
Behoben in
- Auf Version 4.5.5.7 oder neuer aktualisieren (gemäss Patchstack-CNA-Lösung und OffSeq; 4.5.5.7 ist gegenüber dem Patchstack-Advisory oder dem Vendor-Changelog noch zu verifizieren).
Umgehung
- Kein Workaround des Herstellers bekannt.
- Falls das Patchen verzögert wird, das Plugin auf Seiten deaktivieren, auf denen die Kartenfunktionen nicht geschäftskritisch sind, oder den Zugriff auf die betroffenen Funktionen über Webserver- oder WAF-Regeln einschränken. Ein bestimmter Endpunkt ist nicht bestätigt.
Ausnutzung
- Nicht bekanntermassen aktiv ausgenutzt; CISA KEV: No.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- VulDB meldet keinen öffentlich verfügbaren Exploit.
- Patchstack gibt an, dass die Schwachstelle voraussichtlich ausgenutzt werden wird.
Unsere Empfehlung
- Alle WordPress-Seiten mit geo-my-wp in Version 4.5.5.5 oder älter identifizieren.
- Plugin so rasch wie möglich auf 4.5.5.7 oder neuer aktualisieren und die Version überprüfen.
- Bis zum Patch das Plugin nach Möglichkeit deaktivieren oder WAF-Regeln anwenden.
- Webserver- und WordPress-Logs auf unerwartete Anfragen an GEO my WP-Endpunkte sowie auf unbekannte Konten oder Datenänderungen prüfen.
- Den Patchstack-Eintrag und die NVD beobachten, da die NVD-Analyse noch aussteht.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- OffSeq threat radar (CVE-2026-114193) radar.offseq.com
- VulDB entry 428351 vuldb.com
- CVE record mirror (threatint) cve.threatint.com
- WPScan plugin overview geo-my-wp wpscan.com
- GitHub issue astruzocyber/CVE 3483 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 11:28.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.