WP Job Portal Plugin: Fehlende Autorisierung erlaubt Datenzugriff ohne Anmeldung

Zusammenfassung

Das WordPress-Plugin WP Job Portal bis und mit Version 2.7.2 enthält eine fehlende Autorisierungsprüfung, die als Broken Access Control eingestuft ist. Ein nicht angemeldeter Angreifer aus dem Netz kann dadurch auf Funktionen oder Daten zugreifen, die eingeschränkt sein sollten, was im Rahmen des CVSS-Vektors die Vertraulichkeit betrifft. Für den Angriff sind weder ein Konto noch eine Benutzerinteraktion nötig, und die betroffene Funktion wird in den Quellen nicht beschrieben.

Betroffen

• WP Job Portal Plugin für WordPress, Versionen bis und mit 2.7.2 (die untere Grenze ist nicht klar angegeben; der Eintrag verwendet "0" und "n/a")

Behoben in

• Version 2.8.0 (laut Patchstack und CVE-Eintrag; noch nicht gegen das Änderungsprotokoll des Herstellers bestätigt)

Umgehung

Unbekannt. In den Quellen wurde kein Workaround gefunden. Falls sich ein Update nicht sofort einspielen lässt, den Zugriff auf die Funktionen des Plugins auf dem Webserver oder der Firewall einschränken oder das Plugin nach Prüfung der Auswirkungen auf das Job-Portal vorübergehend deaktivieren.

Ausnutzung

• Bekannte Ausnutzung: keine gefunden; CISA-KEV-Eintrag: laut Strix-Eintrag nicht gelistet (im KEV-Katalog prüfen)
• Öffentlicher Proof of Concept: keiner gefunden
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise
• Patchstack stuft die Priorität als niedrig ein

Unsere Empfehlung

• WP Job Portal so bald wie möglich auf Version 2.8.0 oder neuer aktualisieren, insbesondere auf im Internet erreichbaren Websites
• Alle WordPress-Websites auf dieses Plugin und dessen Version prüfen, auch Test- und Staging-Instanzen
• Bei Einsatz einer betroffenen Version die Zugriffsprotokolle auf ungewöhnliche Anfragen an das Plugin prüfen
• Das Plugin aktuell halten, da für Version 2.7.1 eine ähnliche Schwachstelle bei der Zugriffskontrolle gemeldet wurde
• Weitere am 11. November 2026 für dieses Plugin erfasste CVEs bei Patchstack abgleichen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-121014 www.cve.org
• Patchstack advisory patchstack.com
• OffSeq Radar: missing authorization in WP Job Portal radar.offseq.com
• Strix CVE-2026-121014 www.strix.ai
• WordPress.org plugin listing WP Job Portal wordpress.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:52.