10Web Social Photo Feed: PHP Object Injection durch Benutzer mit Contributor-Rolle
Zusammenfassung
Das WordPress-Plugin 10Web Social Photo Feed bis und mit Version 1.5.6 enthält eine PHP Object Injection-Schwachstelle (CWE-502), die auf unsichere Deserialisierung nicht vertrauenswürdiger Daten zurückzuführen ist. Ein Angreifer mit einem Konto mit mindestens Contributor-Rechten kann die Schwachstelle über das Netzwerk ausnutzen, um die Verarbeitung von Daten auf dem System zu manipulieren, mit möglichen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Eine korrigierte Version oder ein Workaround des Herstellers ist noch nicht bekannt, und es sind weder aktive Ausnutzung noch ein öffentlicher Exploit erfasst.
Betroffen
- 10Web Social Photo Feed (WordPress-Plugin, Slug wd-instagram-feed) bis und mit Version 1.5.6
- Erfordert ein Konto mit mindestens Contributor-Rechten
Behoben in
Unbekannt. Zum Zeitpunkt der Erstellung ist keine korrigierte Version veröffentlicht. Prüfen Sie das Patchstack-Advisory und das Änderungsprotokoll von wd-instagram-feed auf WordPress.org.
Umgehung
- Kein Workaround des Herstellers bekannt.
- Patchstack hat eine virtuelle Behebung (Mitigation-Regel) veröffentlicht, die Angriffe blockiert, bis ein offizieller Fix verfügbar ist.
- Das Deaktivieren des Plugins beseitigt die Exponierung.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Kein öffentlicher Exploit indexiert (VulDB, OffSeq, Metasploit, Exploit-DB).
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Patchstack stuft das Problem als mittlere Priorität ein und erwartet eine zunehmende Ausnutzung.
Unsere Empfehlung
- Prüfen Sie, ob das Plugin installiert ist und welche Version aktiv ist.
- Deaktivieren Sie das Plugin, falls der Instagram-Feed nicht geschäftskritisch ist.
- Aktivieren Sie die Patchstack-Mitigation-Regel oder eine vergleichbare WAF-Regel, sofern verfügbar.
- Überprüfen und reduzieren Sie Konten mit Contributor-Rechten oder höher, und entfernen Sie unbekannte Konten.
- Halten Sie WordPress-Core und alle Plugins aktuell und verfolgen Sie den Patchstack-Eintrag auf eine korrigierte Version.
- Der CVSS-Wert unterscheidet sich zwischen den Quellen (8.8 durch den CNA, 6.3 durch VulDB). Priorisieren Sie daher anhand Ihrer eigenen Exponierung.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- VulDB entry vuldb.com
- OffSeq threat radar radar.offseq.com
- CVE record summary (threatint) cve.threatint.com
- Strix CVE summary www.strix.ai
- WPHive plugin page wphive.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:07.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.