SMS Alert Order Notifications WordPress-Plugin: Rechteausweitung
Zusammenfassung
Das WordPress-Plugin SMS Alert Order Notifications bis und mit Version 4.0.2 enthält eine Rechteausweitung (CWE-266). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann die Schwachstelle ohne Benutzerkonto ausnutzen, was zur Erlangung von Administratorrechten auf der WordPress-Website führen kann. Der CVSS-3.1-Basiswert des CNA beträgt 9.8 (Kritisch); eine zweite Bewertungsquelle stuft sie tiefer ein, weshalb sich der NVD-Wert noch ändern kann.
Betroffen
- SMS Alert Order Notifications (WordPress-Plugin, Cozy Vision Technologies Pvt. Ltd.), alle Versionen bis und mit 4.0.2
- Hinweis: Das WordPress.org-Verzeichnis zeigt je nach Momentaufnahme 4.0.1 und 4.0.2 als aktuelle Versionen.
Behoben in
- Auf Version 4.0.3 oder höher aktualisieren (gemäss CNA und Patchstack). Nicht durch ein Changelog des Herstellers unabhängig verifiziert.
Umgehung
- Keine vom Hersteller veröffentlichte Massnahme bekannt.
- Falls die SMS-/OTP-Funktionen nicht zwingend benötigt werden, das Plugin deaktivieren, bis eine korrigierte Version bestätigt ist.
Ausnutzung
- Stand 30. Okt. 2026 nicht als ausgenutzt bekannt.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
- Zum Zeitpunkt der Veröffentlichung kein öffentlicher Proof-of-Concept und kein Eintrag im CISA KEV gefunden; erneut prüfen.
Unsere Empfehlung
- Alle WordPress-/WooCommerce-Websites mit diesem Plugin erfassen und die installierte Version notieren.
- Auf Version 4.0.3 oder höher aktualisieren und die korrigierte Version vor einer Meldung als behoben anhand des Patchstack-Advisory bestätigen.
- Falls kein Update möglich ist, das Plugin auf exponierten Websites deaktivieren.
- WordPress-Administratorkonten und kürzliche Rollenänderungen prüfen und auf unerwartete neue Administratoren achten.
- Den Ausnutzungsstatus in den kommenden Tagen erneut prüfen, da es sich um eine frische Veröffentlichung handelt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory: SMS Alert Order Notifications privilege escalation patchstack.com
- VulDB entry CVE-2026-116386 vuldb.com
- WordPress.org plugin listing: SMS Alert wordpress.org
- Offseq radar: CVE-2026-116386 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:21.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.