Frisbii Pay WordPress-Plugin: PHP Object Injection über Contributor-Rolle
Zusammenfassung
Das WordPress-Plugin Frisbii Pay (WooCommerce-Zahlungsgateway) bis einschliesslich Version 1.8.19 ist von einer PHP Object Injection Schwachstelle (CWE-502) betroffen. Ein authentifizierter Benutzer mit der Rolle Contributor kann manipulierte Daten senden, die das Plugin deserialisiert, was zur Manipulation der serverseitigen Verarbeitung führen kann und je nach Website zu Codeausführung, Datenzugriff oder Datenänderungen. Für die Ausnutzung ist ein Konto mit niedrigen Rechten nötig; eine aktive Ausnutzung ist nicht bekannt.
Betroffen
- Frisbii Pay WordPress-Plugin (Slug reepay-checkout-gateway), Versionen bis einschliesslich 1.8.19
- Benötigte Berechtigung: Contributor
Behoben in
- Von Patchstack gemeldete korrigierte Version: 1.8.20 oder neuer
- Korrigierte Version nicht vom Hersteller bestätigt; das während der Recherche gesehene WordPress.org-Verzeichnis zeigte 1.8.19 als aktuell
Umgehung
- Unbekannt. Keine Workaround-Empfehlung des Herstellers gefunden.
- Plugin deaktivieren, falls es nicht benötigt wird.
- Konten mit Rolle Contributor oder höher prüfen und einschränken.
Ausnutzung
- Keine bekannte Ausnutzung (KEV: Nein, laut OffSeq und Strix).
- VulDB gibt an, dass kein Exploit verfügbar ist.
- EPSS: 0.37 % (Perzentil 31).
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Prüfen, ob das Plugin Frisbii Pay installiert ist und welche Version aktiv ist.
- Sobald verfügbar, auf 1.8.20 oder neuer aktualisieren; die Patchstack-Seite für die aktuell korrigierte Version erneut prüfen.
- Bis eine Korrektur bestätigt ist, Konten mit Contributor- oder höherer Rolle prüfen und nicht benötigte entfernen.
- Plugin- und Webserver-Logs auf ungewöhnliche Anfragen an Checkout- und Plugin-Endpunkte überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- WordPress.org plugin listing wordpress.org
- VulDB entry 428505 vuldb.com
- Strix CVE record www.strix.ai
- OffSeq threat radar radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:06.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.