Create WordPress-Plugin: Fehlende Autorisierungsprüfung (Broken Access Control)
Zusammenfassung
Das WordPress-Plugin Create (Slug mediavine-create) bis einschliesslich Version 3.1.1 weist eine fehlende Autorisierungsprüfung auf, eingestuft als Broken Access Control. Gemäss dem CNA kann ein nicht authentifizierter Angreifer über das Netzwerk Funktionen aufrufen, die ihm nicht zustehen, wodurch allenfalls begrenzt Daten offengelegt werden. Der CVSS-3.1-Wert von 5.3 (Mittel) spiegelt nur geringe Auswirkungen auf die Vertraulichkeit wider, und die betroffenen Funktionen sind in den verfügbaren Quellen nicht dokumentiert.
Betroffen
- Create WordPress-Plugin (mediavine-create), Versionen 0 bis 3.1.1
Behoben in
- Version 3.1.2 (gemäss CVE-Eintrag nicht betroffen)
Umgehung
Unbekannt.
Ausnutzung
- Gemäss Angaben nicht in freier Wildbahn ausgenutzt; kein KEV-Eintrag.
- Der Drittanbieter VulDB bewertet die Ausnutzung als einfach und aus der Ferne möglich, ohne Authentifizierung (Schätzung, keine bestätigte Ausnutzung).
- Kein bestätigter öffentlicher Proof of Concept.
Unsere Empfehlung
- Prüfen, ob WordPress-Websites das Create-Plugin einsetzen und welche Version installiert ist.
- Auf Version 3.1.2 oder neuer aktualisieren; ist dies nicht möglich, das Plugin deaktivieren und entfernen, sofern es nicht benötigt wird.
- Webserver-Logs auf ungewöhnliche Anfragen an die Endpunkte des Plugins prüfen.
- Die Angaben mit dem Patchstack-Advisory abgleichen, sobald dieses zugänglich ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-125046 www.cve.org
- Patchstack advisory patchstack.com
- VulDB entry 435815 vuldb.com
- Strix CVE-2026-125046 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:42.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.