BdThemes ZoloBlocks: Broken Access Control (fehlende Autorisierung)
Zusammenfassung
Das WordPress-Plugin ZoloBlocks bis einschliesslich Version 2.8.2 enthält eine fehlende Berechtigungsprüfung, wodurch auf Funktionen zugegriffen werden kann, die eingeschränkt sein sollten. Laut CVE-Eintrag kann die Schwachstelle ohne Authentifizierung über das Netzwerk ausgenutzt werden. Die veröffentlichte Auswirkung wird für die Vertraulichkeit als gering und für Integrität und Verfügbarkeit als keine eingestuft; welche Daten oder Aktionen genau betroffen sind, wird in den Quellen nicht beschrieben.
Betroffen
- BdThemes ZoloBlocks WordPress-Plugin, Versionen bis einschliesslich 2.8.2
- Version 2.8.3 wird in den Quellen nicht ausdrücklich behandelt; bis zur Bestätigung als betroffen behandeln
Behoben in
- Auf ZoloBlocks 2.8.4 oder neuer aktualisieren (Version laut CNA und einem Aggregator; kein Herstellerhinweis gefunden)
Umgehung
Unbekannt.
Ausnutzung
- Stand 11. Nov 2026 keine bekannte Ausnutzung; laut einem Tracker nicht im CISA-KEV-Katalog
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise
- In den geprüften Quellen kein öffentlicher Exploit-Code gefunden (Momentaufnahme eines einzelnen Aggregators)
Unsere Empfehlung
- Inventar der WordPress-Websites mit ZoloBlocks erstellen und die Versionen erfassen
- Auf 2.8.4 oder neuer aktualisieren, zuerst die aus dem Internet erreichbaren Websites, und die installierte Version anschliessend prüfen
- Falls eine Website nicht zeitnah aktualisiert werden kann, Deaktivierung des Plugins bis zur Korrektur in Betracht ziehen
- Patchstack-Eintrag und Versionshinweise von BdThemes sobald verfügbar prüfen und die Korrekturversion verifizieren
- Sicherheitsmitteilungen zu ZoloBlocks verfolgen, da das Plugin bereits mehrfach von Schwachstellen der fehlenden Autorisierung betroffen war (CVE-2025-12134, CVE-2025-49903)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE record (CNA: Patchstack) www.cve.org
- Patchstack advisory patchstack.com
- BdThemes 2.8.4 release github.com
- Exploitation and version tracker radar.offseq.com
- Related prior CVE (CVE-2025-12134) www.sentinelone.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:48.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.