AutomatorWP: Cross-Site Request Forgery in Zoom/AWeber-Integrationsverbindung
Zusammenfassung
Das WordPress-Plugin AutomatorWP vor Version 6.0.8 bindet die Anfragen, mit denen seine Zoom- und AWeber-Integrationsverbindungen abgeschlossen werden, nicht an den Administrator, der sie gestartet hat. Ein Angreifer kann über einen Cross-Site Request Forgery (CSRF)-Angriff erreichen, dass ein angemeldeter Administrator die gespeicherten Integrationsdaten durch seine eigenen ersetzt, sodass Daten, die die Website an diese Dienste sendet, auf ein Konto des Angreifers umgeleitet werden. Voraussetzung ist, dass die Integration bereits verbunden ist, der Angreifer die OAuth-Client-Kennung der Website kennt und ein Administrator dazu gebracht wird, while angemeldet eine manipulierte Anfrage auszuführen.
Betroffen
- WordPress-Plugin AutomatorWP, Versionen vor 6.0.8 (CNA-Eintrag: 0 bis vor 6.0.8)
- Betroffene Funktion: Verbindungsablauf der Zoom- und AWeber-Integration
Behoben in
- Version 6.0.8 (laut WPScan; das Changelog nennt Sicherheitsverbesserungen am Autorisierungsablauf für Zoom und AWeber)
Umgehung
- Keine vom Hersteller veröffentlichte Massnahme gefunden.
- Auf Version 6.0.8 oder neuer aktualisieren.
- Die Berechtigung zur Änderung der Zoom- und AWeber-Integrationseinstellungen auf vertrauenswürdige Administratoren beschränken.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- Nicht im CISA KEV-Katalog aufgeführt.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
Unsere Empfehlung
- AutomatorWP zeitnah auf Version 6.0.8 oder neuer aktualisieren.
- Die Zoom- und AWeber-Integrationseinstellungen auf unerwartete Änderungen prüfen und die verbundenen Konten verifizieren.
- Administratorkonten und deren Rollenzuweisungen überprüfen.
- Beim Angemeldetsein im WordPress-Dashboard keine unbekannten Websites besuchen.
- Bei Verdacht auf Kompromittierung die Zoom- und AWeber-API-Token widerrufen und neu ausstellen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability record wpscan.com
- CVE Record CVE-2026-121472 www.cve.org
- WordPress.org AutomatorWP plugin page and changelog wordpress.org
- VulDB CVE-2026-121472 vuldb.com
- OpenCVE CVE-2026-121472 app.opencve.io
- OffSeq threat tracker for CVE-2026-121472 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 19:14.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.