Phoenix Media Rename: PHP Object Injection durch Deserialisierung unsicherer Daten

Zusammenfassung

Das WordPress-Plugin Phoenix Media Rename bis einschliesslich Version 3.13.5 deserialisiert unsichere Daten, was PHP Object Injection (CWE-502) ermöglicht. Ein Angreifer mit niedrigen Berechtigungen, zum Beispiel über ein Contributor-Konto, kann präparierte Eingaben senden, sodass die Website schädliche Objekte verarbeitet. Dadurch können Vertraulichkeit, Integrität und Verfügbarkeit der Website beeinträchtigt werden. Der CVSS-Wert ist 8.8, Patchstack stuft die Priorität jedoch als mittel ein, und zum Zeitpunkt der Erstellung wurde weder ein öffentlicher Proof of Concept noch eine bekannte Ausnutzung gefunden.

Betroffen

• crossi72 Phoenix Media Rename (WordPress-Plugin) bis einschliesslich 3.13.5
• Ältere Versionen: Unbekannt. Der CVE-Eintrag nennt den Bereich mit "n/a through 3.13.5".

Behoben in

• Patchstack nennt Version 3.13.6 als gepatchte Version. Das Änderungsprotokoll des Herstellers bestätigte dies zum Zeitpunkt der Erstellung nicht.

Umgehung

• Plugin deaktivieren und entfernen, falls die Funktion zum Umbenennen von Medien nicht benötigt wird.
• Konten einschränken, die auf Funktionen des Plugins zugreifen können, und offene Selbstregistrierung schliessen.
• Eine Web Application Firewall oder einen Virtual Patch verwenden, falls der Hosting-Anbieter dies anbietet. Patchstack meldet eine Schutzregel.

Ausnutzung

• Nicht als in freier Wildbahn ausgenutzt bekannt, und es wurde kein verlässlicher öffentlicher Proof of Concept gefunden.
• Die CISA-SSVC-Bewertung lautet Exploitation: none, Automatable: no und Technical Impact: total.
• Patchstack erwartet eine zunehmende Ausnutzung. Der EPSS-Wert beträgt 0.29 % (Perzentil 21).

Unsere Empfehlung

• Prüfen, ob das Plugin auf einer WordPress-Website installiert ist, auch auf Websites, die kaum genutzt werden.
• Sobald verifizierbar, auf Version 3.13.6 oder neuer aktualisieren. Ist kein Update verfügbar, das Plugin entfernen oder die oben genannten Massnahmen anwenden.
• Konten mit den Rollen Contributor, Author oder Subscriber prüfen und nicht benötigte Konten entfernen.
• Den Patchstack-Hinweis und die WordPress.org-Plugin-Seite auf neue Versionen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory patchstack.com
• VulDB entry 428002 vuldb.com
• WordPress.org plugin page wordpress.org
• OffSeq radar record radar.offseq.com
• CVE daily brief (KEV status) github.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:34.