Social Snap WordPress-Plugin: PHP Object Injection über Contributor-Konto
Zusammenfassung
Das WordPress-Plugin Social Snap bis und mit Version 1.5.4 enthält eine PHP Object Injection-Schwachstelle (CWE-502), die vom CNA Patchstack mit 8.8 (Hoch) bewertet wird. Ein authentifizierter Angreifer mit einem Konto der Rolle Contributor kann manipulierte serialisierte Daten übermitteln, was die serverseitige Verarbeitung beeinflussen und je nach vorhandenen Gadget-Ketten zu einer weitergehenden Kompromittierung der Website führen kann. Die genaue verwundbare Eingabe ist in den geprüften Quellen nicht angegeben.
Betroffen
- Social Snap WordPress-Plugin, alle Versionen bis und mit 1.5.4
- Für die Ausnutzung ist ein angemeldetes Konto mit der Rolle Contributor erforderlich
Behoben in
Unbekannt. Es ist keine korrigierte Version bestätigt; laut Patchstack-Advisory war zum Zeitpunkt der Veröffentlichung kein offizieller Patch verfügbar.
Umgehung
- Plugin deaktivieren oder entfernen, falls es nicht zwingend benötigt wird
- Konten mit der Rolle Contributor prüfen und nicht benötigte Konten entfernen
- Offene Benutzerregistrierung einschränken oder deaktivieren
- Starke Passwörter und Zwei-Faktor-Authentifizierung für Editor- und Autorenkonten erzwingen
- Web Application Firewall oder Virtual Patching einsetzen, falls verfügbar; eine bestätigte Regel für diese Schwachstelle wurde nicht gefunden
Ausnutzung
- In den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bekannt
- Laut VulDB ist kein öffentlicher Proof of Concept bekannt
- Nicht in der CISA KEV gelistet
- EPSS: 0.37 % (Perzentil 31)
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total
Unsere Empfehlung
- WordPress-Websites mit installiertem Social Snap-Plugin inventarisieren und die installierte Version prüfen
- Plugin auf Websites deaktivieren, auf denen es nicht benötigt wird
- Nicht benötigte Contributor- und andere Konten mit niedrigen Rechten entfernen und offene Registrierung schliessen
- Plugin aktualisieren, sobald eine korrigierte Version durch Patchstack oder WordPress.org bestätigt ist
- Patchstack-Advisory, KEV und öffentliche PoC-Quellen auf Änderungen überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- VulDB entry 428512 vuldb.com
- OffSeq Radar CVE-2026-118080 radar.offseq.com
- Strix CVE-2026-118080 www.strix.ai
- Plugin Tests Social Snap plugintests.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:07.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.