WP User Manager: Fehlende Autorisierung (Broken Access Control)
Zusammenfassung
Das WordPress-Plugin WP User Manager bis und mit Version 2.10.4 enthält eine fehlende Autorisierungsprüfung (CWE-862). Ein Angreifer kann dadurch auf Funktionen oder Daten zugreifen, die eingeschränkt sein sollten. Der CVSS-Vektor setzt keine Berechtigungen und keine Benutzerinteraktion voraus, die Lücke ist daher über das Internet erreichbar, es wird aber nur eine geringe Auswirkung auf die Vertraulichkeit bewertet und die betroffene Funktion ist nicht offengelegt.
Betroffen
- WP User Manager (WordPress-Plugin) von allen Versionen bis und mit 2.10.4
Behoben in
- Behoben in Version 2.10.5 (CVE-Eintrag: nicht betroffen ab 2.10.5)
Umgehung
- Unbekannt. Es wurde kein vom Hersteller veröffentlichter Workaround gefunden. Das Update auf 2.10.5 ist die Behebung.
Ausnutzung
- Gemäss OffSeq und Strix nicht bekannt, dass die Lücke aktiv ausgenutzt wird; nicht in CISA KEV aufgeführt.
- Öffentlicher Proof of Concept: nicht bestätigt.
Unsere Empfehlung
- Prüfen, ob WP User Manager installiert ist, und die Version bestätigen.
- Auf Version 2.10.5 oder neuer aktualisieren, im nächsten Wartungsfenster, oder früher, wenn die Website Mitgliederdaten enthält oder öffentliche Registrierung erlaubt.
- Benutzerdaten und Zugriffsprotokolle auf ungewöhnliche Zugriffe prüfen, falls die Website vor dem Update exponiert war.
- Weitere Hinweise zu diesem Plugin überwachen, da es bereits ähnliche Zugriffskontrollprobleme gab.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-124413 www.cve.org
- Patchstack advisory patchstack.com
- OffSeq Radar: CVE-2026-124413 radar.offseq.com
- Strix: CVE-2026-124413 www.strix.ai
- VulDB 435751 vuldb.com
- WP User Manager on WordPress.org wordpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:47.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.