Schema & Structured Data for WP & AMP: Fehlende Berechtigungsprüfung beim Backup-Import
Zusammenfassung
Das WordPress-Plugin Schema & Structured Data for WP & AMP prüft beim Import einer Einstellungssicherung nicht, ob der importierende Benutzer die darin enthaltenen Beiträge bearbeiten darf, und beschränkt den Import nicht auf die eigenen Beitragstypen. Ein authentifizierter Benutzer, dessen Rolle von einem Administrator Zugriff auf die Plugin-Einstellungen erhalten hat, kann daher jeden Beitrag und jede Seite der Website verändern, neu verfassen, depublizieren oder in den Papierkorb verschieben sowie beliebige Post-Metadaten schreiben. Anonyme Angreifer können diese Schwachstelle nicht ausnutzen.
Betroffen
- Schema & Structured Data for WP & AMP Versionen vor 1.70 (CVE-Eintrag: 0 bis vor 1.70; VulDB beschreibt bis 1.69)
Behoben in
- Version 1.70 oder neuer
Umgehung
- Bis das Update eingespielt ist, den Zugriff auf die Plugin-Einstellungen auf vollwertige Administratoren beschränken (Empfehlung von VulDB, keine Aussage des Herstellers).
- Prüfen, welche Nicht-Administrator-Rollen Zugriff auf die Plugin-Einstellungen haben, und diesen Zugriff entfernen.
Ausnutzung
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Exploit gefunden (VulDB, OffSeq).
- Es gibt keine Hinweise auf eine Ausnutzung in freier Wildbahn; der Aggregator-Stand vom 10. bis 11. Nov. 2026 führt die CVE nicht im CISA-KEV-Katalog.
- CISA-SSVC-Bewertung: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
Unsere Empfehlung
- Das Plugin auf Version 1.70 oder neuer aktualisieren.
- Bis dahin den Zugriff auf die Plugin-Einstellungen auf Administratoren beschränken und Rollen mit diesem Zugriff prüfen.
- Prüfen, ob die Website mehrere Redaktoren oder Agenturkonten hat, da dies die Exposition erhöht.
- Das Update auch wegen der weiteren Korrekturen in derselben Version einspielen (CVE-2026-119033, CVE-2026-119035), die Rollen ab Contributor betreffen.
- Den WPScan-Advisory und NVD auf Änderungen überwachen, da die NVD-Analyse noch aussteht.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability advisory wpscan.com
- CVE Record CVE-2026-119032 www.cve.org
- VulDB CVE-2026-119032 vuldb.com
- VulDB vulnerability 435656 vuldb.com
- Plugin listing (InstaWP) instawp.com
- OffSeq Radar threat entry radar.offseq.com
- Strix CVE-2026-119033 www.strix.ai
- OpenCVE CVE-2026-119035 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:06.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.