NotificationX WordPress-Plugin: Fehlende Autorisierung in REST-Route
Zusammenfassung
Das NotificationX WordPress-Plugin vor Version 3.3.7 prüft auf einer seiner REST-Routen weder Berechtigungen noch Nonces. Ein nicht angemeldeter Angreifer kann eine Plugin-Option ändern und wiederholt E-Mails über den eigenen Mailserver der Website auslösen. Die Auswirkung auf die Vertraulichkeit ist begrenzt, der Missbrauch kann aber zu Spam-Beschwerden und zur Blacklistung der Firmen-Maildomain führen.
Betroffen
- NotificationX WordPress-Plugin, Versionen vor 3.3.7 (gemäss CNA; untere Grenze nicht bestätigt)
- Genauer Optionsname und REST-Route: Unbekannt.
Behoben in
- Version 3.3.7
Umgehung
- Kein Workaround des Herstellers oder der CNA bekannt.
- Übergangsmassnahme (eigene Empfehlung): Das Plugin deaktivieren, bis das Update möglich ist, falls sich das Update verzögert.
Ausnutzung
- Zum Zeitpunkt der Recherche sind kein öffentlicher Exploit und keine Hinweise auf eine aktive Ausnutzung bekannt.
- Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt.
- Für die Ausnutzung ist kein Konto nötig; die Schwachstelle ist auf öffentlich erreichbaren WordPress-Websites aus dem Internet erreichbar.
Unsere Empfehlung
- Alle NotificationX-Installationen auf Version 3.3.7 oder neuer aktualisieren, zuerst die aus dem Internet erreichbaren Websites.
- Plugin-Version auf allen WordPress-Websites prüfen.
- Mail-Logs auf ungewöhnlich viele Benachrichtigungs-E-Mails prüfen.
- Den CVSS-Score in der NVD nach der Veröffentlichung erneut prüfen; VulDB bewertet die CVE mit 6.5, die CNA mit 5.3.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability record wpscan.com
- VulDB CVE-2026-119303 vuldb.com
- Patchstack NotificationX vulnerabilities patchstack.com
- OffSeq threat entry CVE-2026-119303 radar.offseq.com
- OpenCVE CVE-2026-119303 app.opencve.io
- VulDB CVE-2026-119302 (related) vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:05.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.