RepairBuddy WordPress-Plugin: Fehlende Berechtigungsprüfung (Broken Access Control)
Zusammenfassung
RepairBuddy, ein WordPress-Plugin für Reparaturbetriebe, verfügt in den Versionen bis einschliesslich 4.1235 über keine Berechtigungsprüfung. Ein nicht angemeldeter Angreifer, der die betroffenen Funktionen erreichen kann, kann auf Daten oder Aktionen zugreifen, die ihm nicht zustehen sollten. Der CVSS-Wert stuft die Auswirkung auf die Vertraulichkeit als gering und auf Integrität und Verfügbarkeit als keine ein; welche Daten genau offengelegt werden, ist in den verfügbaren Quellen nicht beschrieben.
Betroffen
- RepairBuddy WordPress-Plugin (Ordner computer-repair-shop), Versionen bis einschliesslich 4.1235
- Untere Grenze des betroffenen Bereichs: Unbekannt
Behoben in
- Version 4.1236 oder neuer (gemäss CNA-Eintrag und Patchstack)
- Bestätigung der Korrektur durch den Hersteller: Nicht geprüft
Umgehung
Unbekannt. Es ist keine offizielle Umgehungsmassnahme veröffentlicht.
- Falls das Plugin nicht geschäftskritisch ist, bis zur Aktualisierung deaktivieren
Ausnutzung
- Aktive Ausnutzung: nicht bekannt
- CISA KEV: nicht gelistet
- Öffentlicher Proof of Concept: in der Recherche keiner gefunden
Unsere Empfehlung
- Alle WordPress-Websites mit dem Plugin computer-repair-shop erfassen und deren Versionen notieren
- Auf Version 4.1236 oder neuer aktualisieren, nachdem die Version bei WordPress.org oder beim Hersteller bestätigt wurde
- Auf Websites, die nicht sofort aktualisiert werden können, das Plugin deaktivieren oder den Zugriff darauf einschränken
- Plugin-Daten und Logs auf unerwartete Zugriffe prüfen, insbesondere auf Kundendaten
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE record CVE-2026-125438 www.cve.org
- Patchstack advisory patchstack.com
- OffSeq threat entry CVE-2026-125438 radar.offseq.com
- Strix CVE-2026-125438 www.strix.ai
- Webful Creations RepairBuddy product page www.webfulcreations.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:46.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.