NotificationX: Unauthentifizierte Offenlegung von Inhalten und Shortcode-Ausführung

Zusammenfassung

Das WordPress-Plugin NotificationX vor Version 3.3.7 prüft in seiner Benachrichtigungs-Vorschau weder Berechtigungen, Authentifizierung noch Nonces. Jeder nicht angemeldete Besucher kann über eine Anfrage mit präparierten Vorschaudaten private, entwurfsartige, ausstehende und passwortgeschützte Beiträge einsehen sowie registrierte Shortcodes ausführen. Das CNA bewertet die Schwachstelle mit CVSS 3.1 6.5 (mittel) mit Auswirkungen auf Vertraulichkeit und Integrität; VulDB nennt zusätzlich eine Auswirkung auf die Verfügbarkeit, die Quellen widersprechen sich somit.

Betroffen

• Plugin NotificationX für WordPress, alle Versionen vor 3.3.7 (CNA-Eintrag; VulDB nennt bis 3.3.6)

Behoben in

• Version 3.3.7 (die Release-Notes des Herstellers nennen diese CVE nicht; die Zuordnung leitet sich aus den CVE-Einträgen ab)

Umgehung

• In den geprüften Quellen ist keine Workaround-Massnahme dokumentiert.
• Übergangslösung: Das Plugin oder dessen Vorschau-Funktion deaktivieren, bis Version 3.3.7 installiert ist, sofern dies betrieblich möglich ist.

Ausnutzung

• Eine Ausnutzung in freier Wildbahn ist nicht bekannt.
• Öffentlicher Proof of Concept: unbekannt. Der WPScan-Verweis trägt ein Exploit-Tag, das nicht verifiziert ist.
• Keine Authentifizierung erforderlich, die Angriffskomplexität ist gering.

Unsere Empfehlung

• Alle WordPress-Websites mit NotificationX ermitteln und die Version prüfen.
• Auf NotificationX 3.3.7 oder neuer aktualisieren, zuerst bei öffentlich erreichbaren Websites und bei Websites mit Entwürfen oder privaten Inhalten.
• Prüfen, ob sensible Inhalte über die Vorschau offengelegt wurden, und in Beiträgen gespeicherte Geheimnisse rotieren.
• Das Plugin aktuell halten, da das Produkt eine Historie unauthentifizierter Schwachstellen aufweist.
• Den WPScan-Eintrag und das WordPress.org-Changelog auf Bestätigung der Korrektur und eines allfälligen PoC prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• WPScan advisory wpscan.com
• CVE Record CVE-2026-119302 www.cve.org
• VulDB entry 435689 vuldb.com
• GitHub release notes v3.3.7 github.com
• Wordfence threat intelligence (NotificationX) www.wordfence.com
• Strix CVE-2026-119302 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 11:52.