Photo Engine WordPress-Plugin: Fehlende Zugriffskontrolle erlaubt Medienlöschung
Zusammenfassung
Das WordPress-Plugin Photo Engine (Media Organizer & Lightroom) vor Version 6.6.2 prüft beim Löschen einer Sammlung nicht, ob der Benutzer die darin enthaltenen Medien löschen darf. Benutzer mit der Rolle Author oder höher können dadurch synchronisierte Medien anderer Benutzer, einschliesslich jener von Administratoren, dauerhaft löschen. Der Angriff setzt ein gültiges Author-Konto voraus, es handelt sich also um ein Insider- oder Post-Login-Risiko und nicht um eine Bedrohung aus dem anonymen Internet.
Betroffen
- Photo Engine (Media Organizer & Lightroom) WordPress-Plugin (WordPress.org-Slug wplr-sync) von 0 bis vor 6.6.2 (Bereich gemäss CNA)
- Einige Drittquellen nennen bis 6.6.1; massgebend ist der Bereich der CNA.
Behoben in
- Version 6.6.2 (gemäss CVE-Beschreibung und CNA-Eintrag)
- Zum Zeitpunkt der Recherche noch nicht auf WordPress.org bestätigt; die Plugin-Seite zeigte noch 6.6.1 als aktuell.
Umgehung
- Dem Hersteller ist keine veröffentlichte Workaround-Massnahme bekannt.
- Author-Konten prüfen, reduzieren und nicht benötigte Konten entfernen.
- Aktuelle Backups der Medienbibliothek aufbewahren, da die Löschung dauerhaft ist.
Ausnutzung
- Ausnutzung in freier Wildbahn: keine Hinweise bekannt. Nicht im CISA-KEV-Katalog verzeichnet.
- Öffentlicher Proof of Concept: zum Zeitpunkt der Recherche keiner gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
Unsere Empfehlung
- Plugin auf Version 6.6.2 oder neuer aktualisieren, sobald diese verfügbar ist, und das WordPress.org-Changelog prüfen.
- Prüfen, welche Benutzer die Rolle Author oder höher besitzen, und nicht benötigte Konten entfernen.
- Prüfen, ob die Backups der Medienbibliothek funktionieren und sich wiederherstellen lassen.
- Auf unerwartete Löschungen von Sammlungen oder Medien achten.
- Der CVSS-Vektor enthält hohe Privilegien (PR:H), was mit der Rolle Author nicht zusammenpasst; den Score 4.9 erst verwenden, wenn NVD ihn bestätigt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-123666 www.cve.org
- WPScan advisory wpscan.com
- WordPress.org plugin page wplr-sync wordpress.org
- VulDB CVE-2026-123666 vuldb.com
- OpenCVE CVE-2026-123666 app.opencve.io
- TheHackerWire CVE-2026-123666 www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 19:16.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.