ProfilePress WordPress-Plugin: Fehlende Berechtigungsprüfung bei Mitgliedschaftsplänen
Zusammenfassung
Das WordPress-Plugin ProfilePress vor Version 4.17.6 prüft negative Identifikatoren von Mitgliedschaftsplänen nicht, bevor es kontrolliert, ob ein Plan aktiv ist. Unauthentifizierte Besucher können sich dadurch für vom Administrator deaktivierte Mitgliedschaftspläne registrieren und die damit verknüpfte Rolle erhalten. Die Auswirkung ist eine unberechtigte Rollenzuweisung, die Zugriff auf eingeschränkte Inhalte oder Funktionen gewähren kann, sofern die Rolle zur Zugriffssteuerung verwendet wird.
Betroffen
- ProfilePress WordPress-Plugin (wp-user-avatar) Versionen vor 4.17.6
- Der CNA-Eintrag nennt 0 bis vor 4.17.6; VulDB nennt 4.17.0 bis 4.17.5 (der CNA-Bereich gilt als massgebend)
Behoben in
- Auf ProfilePress 4.17.6 oder neuer aktualisieren; empfohlen wird die neueste Version auf WordPress.org
- Herstellerseitiger Changelog-Eintrag zu diesem Fix: Unbekannt.
Umgehung
- Es ist kein herstellerseitig dokumentierter Workaround bekannt.
- Übergangsmassnahme (nicht aus einer Quelle): Mitgliedschaftspläne und Rollen auf unerwartete Registrierungen prüfen und die Zuordnung von Plan zu Rolle verifizieren.
Ausnutzung
- Nicht bekannt, dass die Lücke ausgenutzt wird; nicht im CISA-KEV-Katalog.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- Kein öffentlicher Exploit-Code in Metasploit oder Exploit-DB indexiert; technische Details laut VulDB unbekannt.
Unsere Empfehlung
- Inventar der WordPress-Websites mit ProfilePress erstellen und die installierte Version prüfen.
- ProfilePress auf die neueste Version aktualisieren (mindestens 4.17.6).
- Nach dem Patch aktuelle Registrierungen und Rollenzuweisungen auf Websites prüfen, die Inhalte über Mitgliedschaften verkaufen oder steuern.
- Routinepriorität, sofern keine rollengeschützten sensitiven Inhalte im Einsatz sind; Ausnutzungsstatus erneut prüfen, da die CVE neu ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan advisory wpscan.com
- CVE Record CVE-2026-123657 www.cve.org
- VulDB entry 435667 vuldb.com
- OffSeq Radar threat entry radar.offseq.com
- WordPress.org plugin page (wp-user-avatar) wordpress.org
- ProfilePress membership plans guide profilepress.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 18:04.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.