Food Menu WordPress-Plugin: Fehlende Autorisierungsprüfung (CVE-2026-125431)
Zusammenfassung
Das WordPress-Plugin Food Menu – Restaurant Menu & Online Ordering for WooCommerce (tlp-food-menu) bis Version 6.0.7 enthält eine fehlende Autorisierungsprüfung. Gemäss CVE-Eintrag und Patchstack kann ein Angreifer auf Funktionen zugreifen, die ihm nicht zustehen sollten. Der CVSS-Basiswert beträgt 5.3 (mittel), mit geringer Integritätsauswirkung und ohne Auswirkung auf Vertraulichkeit oder Verfügbarkeit. Die betroffene Funktion wird in den geprüften Quellen nicht beschrieben.
Betroffen
- Food Menu – Restaurant Menu & Online Ordering for WooCommerce (WordPress-Plugin tlp-food-menu)
- Versionen von n/a bis 6.0.7
- Die Herstellerangabe unterscheidet sich zwischen den Quellen (Mamunur Rashid; Softwareautor techlabpro1 laut Wordfence)
Behoben in
- Version 6.0.8 (laut CVE-Eintrag und OffSeq)
- Hinweis: Die Version 6.0.8 wurde bei der Recherche auf der WordPress.org-Seite nicht bestätigt; vor einer Abhängigkeit prüfen.
Umgehung
Unbekannt.
- Falls kurzfristig kein Update möglich ist, das Plugin auf öffentlichen Websites deaktivieren oder den Zugriff auf seine Endpunkte auf Webserver- oder WAF-Ebene einschränken (keine Herstellerangabe).
Ausnutzung
- Keine bekannte Ausnutzung (OffSeq: nicht als ausgenutzt bekannt; Strix: KEV nein).
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- Bei der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies ist keine bestätigte Abwesenheit.
Unsere Empfehlung
- Alle WordPress-Websites mit dem Plugin und deren Versionen ermitteln.
- Auf Version 6.0.8 oder neuer aktualisieren und danach die installierte Plugin-Version prüfen.
- Falls kein Update möglich ist, das Plugin auf öffentlichen Websites deaktivieren.
- Den Patchstack-Hinweis auf die betroffene Funktion prüfen und die weiteren aktuellen Hinweise zum Plugin (CVE-2026-13328, CVE-2026-42709) berücksichtigen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-125431 www.cve.org
- Patchstack advisory patchstack.com
- OffSeq Radar CVE-2026-125431 radar.offseq.com
- Strix CVE-2026-125431 www.strix.ai
- Wordfence threat intelligence for tlp-food-menu www.wordfence.com
- WordPress.org plugin listing wordpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:42.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.