E2Pdf.com e2pdf WordPress-Plugin: Fehlende Autorisierung (Broken Access Control)
Zusammenfassung
Das WordPress-Plugin e2pdf bis und mit Version 1.32.65 enthält eine fehlende Autorisierungsprüfung (CWE-862). Ein angemeldeter Benutzer mit einem Konto mit niedrigen Rechten, etwa einem Contributor, kann möglicherweise auf Funktionen oder Daten zugreifen, die ihm nicht zustehen. Der CVSS-Vektor weist auf eine hohe Auswirkung auf die Vertraulichkeit hin, ohne Auswirkung auf Integrität oder Verfügbarkeit. Die genaue fehlende Prüfung wird in den geprüften Quellen nicht beschrieben.
Betroffen
- e2pdf WordPress-Plugin ab nicht spezifizierter Version (n/a) bis und mit 1.32.65
- Hersteller: E2Pdf.com
Behoben in
- Version 2.00.00 (laut CVE-Eintrag und Patchstack; Changelog des Herstellers nicht verifiziert)
Umgehung
- Kein vom Hersteller veröffentlichter Workaround gefunden.
- Falls das Update verzögert wird, Kontoerstellung einschränken, nicht benötigte Konten entfernen und Berechtigungen auf Contributor-Stufe begrenzen.
Ausnutzung
- Nicht bekannt, dass die Lücke ausgenutzt wird (nicht im CISA KEV-Katalog).
- Öffentlicher Proof of Concept: Unbekannt.
- Ein Aggregator erwähnt unklare 'Evidence found' ohne Details.
Unsere Empfehlung
- WordPress-Websites mit e2pdf 1.32.65 oder älter identifizieren.
- Changelog für 2.00.00 prüfen (mögliche inkompatible Änderungen), danach aktualisieren.
- Bis zum Patch Konten mit niedrigen Rechten prüfen und offene Registrierung deaktivieren, falls nicht benötigt.
- NVD überwachen, da der Status des Eintrags Deferred ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-122671 www.cve.org
- Patchstack advisory patchstack.com
- OffSeq Radar CVE-2026-122671 radar.offseq.com
- Strix CVE-2026-122671 www.strix.ai
- WPScan e2pdf plugin wpscan.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:42.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.