Chat AI with Dispatcher WordPress-Plugin: Nicht authentifizierter beliebiger Datei-Upload
Zusammenfassung
Das WordPress-Plugin Chat AI with Dispatcher validiert hochgeladene Dateien nicht korrekt und stützt sich nur auf einen vom Client gelieferten Inhaltstyp, der gefälscht werden kann. Ein nicht authentifizierter Angreifer kann beliebige Dateien hochladen, einschliesslich PHP-Skripten, was zu Remote Code Execution auf dem Webserver führen kann. Für den Angriff sind weder Anmeldung noch Benutzerinteraktion nötig, und die Standardkonfiguration von WordPress ist aus dem Internet erreichbar.
Betroffen
- WordPress-Plugin Chat AI with Dispatcher, alle Versionen vor 2.4
- Älteste betroffene Version: Unbekannt.
Behoben in
- Version 2.4
Umgehung
- Keine Workaround-Massnahme nötig, wenn das Plugin auf Version 2.4 aktualisiert wird.
- Falls ein Update nicht sofort möglich ist, Plugin deaktivieren und entfernen, sofern es nicht essenziell ist.
- Zugriff auf die Endpunkte des Plugins auf dem Webserver oder per WAF einschränken.
- Sicherstellen, dass Upload-Verzeichnisse keine PHP-Dateien ausführen können.
Ausnutzung
- Ausnutzung in freier Wildbahn: Kein Nachweis gefunden, Stand 29. Oktober 2026.
- Öffentlicher Proof of Concept: Keiner gefunden.
- Nicht in CISA KEV gelistet.
- CISA SSVC: Automatisierbar ja, technische Auswirkung total.
- EPSS: 0.2 %.
Unsere Empfehlung
- WordPress-Websites inventarisieren und prüfen, ob das Plugin installiert ist und welche Version verwendet wird.
- Plugin prioritär auf Version 2.4 oder neuer aktualisieren.
- Upload-Verzeichnisse auf unerwartete PHP-Dateien prüfen und Funde untersuchen.
- Vor dem Rollout den Hersteller-Advisory und das Changelog des Plugins prüfen.
- Webserver-Logs auf ungewöhnliche Upload-Anfragen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability advisory wpscan.com
- VulDB CVE-2026-115245 vuldb.com
- OffSeq Radar threat entry radar.offseq.com
- Strix CVE entry www.strix.ai
- CVE Threat Intel record cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:08.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.