WPZOOM Social Feed Widget & Block: Offenlegung sensibler Daten im WordPress-Plugin
Zusammenfassung
Das WPZOOM Social Feed Widget & Block WordPress-Plugin, das Instagram-Feeds auf WordPress-Websites anzeigt, ist bis Version 2.4.1 betroffen. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann sensible Daten abrufen, die in der Kommunikation des Plugins eingebettet sind, so die Einstufung durch Patchstack und CWE-201. Die Auswirkung beschränkt sich auf die Vertraulichkeit, welche Daten genau offengelegt werden, ist nicht veröffentlicht.
Betroffen
- WPZOOM Social Feed Widget & Block (WordPress-Plugin, früher Instagram Widget by WPZOOM)
- Alle Versionen von n/a bis 2.4.1
Behoben in
- Version 2.4.2 und neuer
Umgehung
Unbekannt. Es ist kein Workaround des Herstellers dokumentiert. Das Aktualisieren auf 2.4.2 ist die Massnahme.
Ausnutzung
- Nicht als ausgenutzt bekannt (OffSeq).
- Öffentlicher Proof of Concept: in den geprüften Quellen nicht gefunden.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
Unsere Empfehlung
- Das Plugin so rasch wie möglich auf Version 2.4.2 oder neuer aktualisieren, prioritär auf Websites, auf denen Instagram-API-Token gespeichert sind.
- Falls ein Update verzögert wird, prüfen, ob Instagram-API-Token im Plugin gespeichert sind, und diese nach dem Update erneuern.
- Inventar der WordPress-Websites prüfen, um alle Installationen des Plugins zu identifizieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-125766 www.cve.org
- Patchstack advisory patchstack.com
- VulDB entry 435812 vuldb.com
- OffSeq radar entry radar.offseq.com
- WordPress.org plugin listing wordpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:41.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.