Restrict User Access – Membership Plugin with Force: Fehlende Autorisierungsprüfung
Zusammenfassung
Das WordPress-Mitgliederplugin Restrict User Access – Membership Plugin with Force bis und mit Version 2.8.3 enthält eine fehlende Autorisierungsprüfung (CWE-862). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann möglicherweise auf Funktionen oder Inhalte zugreifen, die eingeschränkt sein sollten, wobei die Auswirkung auf die Vertraulichkeit gering ist. Der betroffene Endpunkt und die konkret gefährdeten Daten sind in den Quellen nicht beschrieben.
Betroffen
- DEV Institute Restrict User Access – Membership Plugin with Force, alle Versionen bis und mit 2.8.3
Behoben in
- Version 2.8.4 oder neuer (gemäss CVE-Eintrag und Patchstack-Eintrag; die Angabe auf wordpress.org muss noch überprüft werden)
Umgehung
- Unbekannt. Es wurde keine Gegenmassnahme des Herstellers oder der Forschung veröffentlicht. Das Aktualisieren ist die einzige dokumentierte Abhilfe.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn. Nicht im CISA-KEV-Katalog aufgeführt.
- Zum Zeitpunkt der Erfassung wurde kein öffentlicher Proof-of-Concept gefunden. Der Eintrag ist erst einen Tag alt, weshalb sich dies ändern kann.
Unsere Empfehlung
- Alle WordPress-Websites, auch jene, die von Agenturen betreut werden, auf dieses Plugin und dessen Version prüfen.
- Sobald die Version auf wordpress.org oder der Herstellerseite bestätigt ist, auf Version 2.8.4 oder neuer aktualisieren.
- Falls eine Aktualisierung nicht sofort möglich ist, Hosting-Anbieter oder Webentwickler um Unterstützung bitten und prüfen, welche Inhalte das Plugin schützt.
- Auch auf die verwandte Schwachstelle CVE-2026-62040 prüfen, die mit demselben Update behoben wird.
- Webserver-Logs auf ungewöhnliche Zugriffe auf Seiten für Mitglieder überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-124271 www.cve.org
- Patchstack advisory: Broken Access Control in Restrict User Access – Membership Plugin with Force patchstack.com
- WordPress.org plugin page: Restrict User Access wordpress.org
- WPScan: Restrict User Access plugin wpscan.com
- OffSeq Radar: Missing authorization in Restrict User Access – Membership Plugin with Force radar.offseq.com
- Strix: CVE-2026-124271 www.strix.ai
- Vulners: CVE-2026-62040 (related) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:51.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.