Dynamic QR Code – generator: PHP Object Injection im WordPress-Plugin

Zusammenfassung

Das WordPress-Plugin Dynamic QR Code – generator von sosidee, Versionen bis einschliesslich 1.0.1, enthält eine PHP-Object-Injection-Schwachstelle (CWE-502). Ein Angreifer mit einem Konto der Rolle Contributor kann manipulierte serialisierte Daten übermitteln, die das Plugin verarbeitet, wodurch serverseitige Objekte manipuliert werden können. Je nach weiteren installierten Plugins und Themes kann dies zu Codeausführung, Datenzugriff oder Dienstunterbruch führen. Der CNA Patchstack stuft die Schwachstelle mit CVSS 8.8 ein, eine behobene Version ist nicht bestätigt.

Betroffen

• Dynamic QR Code – generator (WordPress-Plugin, sosidee)
• Versionen <= 1.0.1 (VulDB führt 1.0.0 und 1.0.1 auf)

Behoben in

Unbekannt. Weder der Hersteller noch Patchstack haben eine korrigierte Version bestätigt. Es darf nicht davon ausgegangen werden, dass 1.0.1 sicher ist.

Umgehung

• Keine Mitigation des Herstellers gefunden.
• Plugin deaktivieren und entfernen, falls es nicht geschäftskritisch ist.
• Konten der Rolle Contributor überprüfen und einschränken sowie offene Selbstregistrierung deaktivieren.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn (OffSeq).
• Kein öffentlicher Proof of Concept gefunden (OffSeq, VulDB).
• CISA SSVC: Exploitation none, Automatable no.
• EPSS 0.37 % (Perzentil 31). Nicht in der CISA KEV aufgeführt.

Unsere Empfehlung

• Plugin bis zur Bestätigung einer behobenen Version als ungepatcht behandeln.
• Falls das Plugin nicht benötigt wird, deaktivieren und entfernen.
• Falls es benötigt wird, Konten mit Contributor- oder anderen Low-Privilege-Rollen einschränken oder entfernen und offene Registrierung deaktivieren.
• Benutzerkonten auf unerwartete Aktivitäten prüfen und den Patchstack-Eintrag sowie die Plugin-Seite auf WordPress.org auf eine neue Version überwachen.
• Priorität: mittel bis hoch für öffentliche WordPress-Seiten mit mehreren Benutzern auf Autorenstufe.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory patchstack.com
• VulDB entry 428502 vuldb.com
• OffSeq threat radar radar.offseq.com
• GitHub CVE issue 3526 github.com
• CVE threat intelligence mirror cve.threatint.com
• InstaWP plugin page instawp.com
• Strix CVE-2026-116867 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:10.