Kit WordPress-Plugin: Fehlende Berechtigungsprüfung (Broken Access Control)

Zusammenfassung

Das WordPress-Plugin Kit (ehemals ConvertKit) bis und mit Version 3.5.0 enthält eine fehlende Autorisierung, die als Broken Access Control eingestuft ist. Ein Angreifer ohne Anmeldung aus dem Netzwerk kann möglicherweise auf Funktionen oder Daten zugreifen, die eingeschränkt sein sollten. Gemäss dem CVSS-Vektor des Herstellers beschränkt sich die Auswirkung auf einen geringen Verlust der Vertraulichkeit, ohne Einfluss auf Integrität oder Verfügbarkeit.

Betroffen

• WordPress-Plugin Kit (ehemals ConvertKit), Versionen bis und mit 3.5.0
• Der NVD-Versionsbereich lautet "n/a through 3.5.0"; 3.5.0 und frühere Versionen als betroffen behandeln

Behoben in

• Version 3.5.1 (gemäss CNA-Eintrag und OffSeq; Bestätigung im WordPress.org-Changelog ausstehend)

Umgehung

• Unbekannt. Es wurde keine spezifische Massnahme gefunden; das Aktualisieren auf 3.5.1 oder neuer ist die empfohlene Behebung.

Ausnutzung

• Gemäss OffSeq nicht bekannt, dass die Lücke ausgenutzt wird; laut einem Drittanbieter-Aggregator nicht im CISA KEV-Katalog.
• Ein öffentlicher PoC wird von OffSeq und einem PoC-Index angegeben, ist aber nicht verifiziert.

Unsere Empfehlung

• Inventarisieren Sie WordPress-Websites, auf denen das Kit-Plugin eingesetzt wird.
• Aktualisieren Sie das Plugin im Rahmen des normalen Patch-Zyklus auf Version 3.5.1 oder neuer.
• Prüfen Sie die Logs des Webservers und des Plugins auf ungewöhnliche Zugriffe auf Kit-bezogene Endpunkte.
• Beschleunigen Sie das Update, falls ein PoC bestätigt wird.
• Halten Sie das Plugin auf der neuesten Version, da in letzter Zeit mehrere Broken-Access-Control-Lücken darin aufgetreten sind.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  kanokwut/CVE-2026-125439-poc

Quellen der Recherche

• Patchstack advisory patchstack.com
• CVE Record CVE-2026-125439 www.cve.org
• OffSeq radar entry radar.offseq.com
• WordPress.org plugin page wordpress.org
• Strix CVE entry CVE-2026-125439 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:46.