ProfilePress: Falsche Berechtigungsprüfung in Mitgliederverzeichnis-Filtern
Zusammenfassung
ProfilePress, ein WordPress-Plugin für Mitgliedschaften, Registrierung und Benutzerprofile, beschränkt die Rollen- und User-Meta-Filter seiner Mitgliederverzeichnisse nicht auf die vom Administrator festgelegten Werte. Ein nicht authentifizierter Angreifer kann Konten auflisten, die das Verzeichnis eigentlich verbergen sollte, und User-Meta-Werte der aufgelisteten Benutzer auslesen. Voraussetzung ist ein Mitgliederverzeichnis, das auf einer öffentlich erreichbaren Website veröffentlicht ist.
Betroffen
- ProfilePress-Versionen vor 4.17.6 (das CNA nennt alle Versionen von 0 bis vor 4.17.6; VulDB nennt bis 4.17.5)
Behoben in
- Version 4.17.6 laut WPScan-Advisory und WordPress.org-Changelog. Die aktuelle Version auf WordPress.org prüfen, bevor eine Zielversion festgelegt wird.
Umgehung
- Unbekannt.
- Bis zur Aktualisierung öffentlich erreichbare Mitgliederverzeichnisse offline nehmen oder für anonyme Besucher ausblenden (eigene Empfehlung, nicht vom Hersteller).
- VulDB empfiehlt, den öffentlichen Zugriff auf Endpunkte der Mitgliederverzeichnisse einzuschränken und Regeln einer Web Application Firewall einzusetzen (Empfehlung eines Drittanbieters).
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn. Die CVE ist nicht im CISA-KEV-Katalog.
- Zum Zeitpunkt der Veröffentlichung ist kein öffentlicher Proof of Concept bestätigt.
- CISA SSVC: automatisierbar ja, technische Auswirkung partiell.
Unsere Empfehlung
- Alle Websites mit ProfilePress unter 4.17.6 ermitteln und prüfen, ob sie Mitgliederverzeichnisse veröffentlichen.
- ProfilePress zusammen mit den übrigen Korrekturen desselben Updates auf die aktuelle Version aktualisieren, etwa CVE-2026-123657 und CVE-2026-123656.
- Danach als anonymer Besucher prüfen, dass ausgeblendete Konten und User-Meta-Werte nicht mehr erscheinen.
- Falls die Verzeichnisse Personendaten enthalten, die Auswirkungen auf den Datenschutz für Schweizer Kunden gemäss revDSG abklären.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan advisory wpscan.com
- CVE Record CVE-2026-123659 www.cve.org
- VulDB CVE-2026-123659 vuldb.com
- VulDB entry 435693 vuldb.com
- WordPress.org plugin wp-user-avatar wordpress.org
- The Hacker Wire CVE-2026-123659 www.thehackerwire.com
- OffSeq Radar CVE-2026-123659 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:58.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.