NerdPress Hubbub Lite: Offenlegung sensibler Daten im WordPress-Plugin
Zusammenfassung
Das WordPress-Plugin Hubbub Lite (Slug social-pug) bis einschliesslich Version 1.36.3.1 kann sensible Informationen gegenüber nicht authentifizierten Angreifern offenlegen. Gemäss CVE-Eintrag kann ein Angreifer eingebettete sensible Daten über das Netzwerk abrufen, ohne Berechtigungen oder Benutzerinteraktion. Der veröffentlichte CVSS-Wert ist 5.3 (Mittel) mit ausschliesslich Auswirkung auf die Vertraulichkeit; welche Daten betroffen sind, wird in den Quellen nicht beschrieben.
Betroffen
- NerdPress Hubbub Lite (WordPress-Plugin, Slug social-pug) von n/a bis einschliesslich 1.36.3.1
Behoben in
- Version 1.36.3.2 oder neuer (gemäss CVE-Eintrag und Patchstack). Noch nicht auf WordPress.org bestätigt.
Umgehung
- Unbekannt. Es ist kein vom Hersteller dokumentierter Workaround verfügbar.
Ausnutzung
- Zum Zeitpunkt der Veröffentlichung keine bekannte Ausnutzung (CISA SSVC: Exploitation none).
- VulDB meldet keinen verfügbaren Exploit; es wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen, ob WordPress-Websites Hubbub Lite einsetzen, auch Websites, auf denen es nur als Share-Widget verwendet wird.
- Auf Version 1.36.3.2 oder neuer aktualisieren, sobald die Version auf WordPress.org oder im Patchstack-Eintrag bestätigt ist.
- Webserver-Logs nach dem Patchen auf ungewöhnliche Anfragen prüfen.
- Vor dem Verlassen auf die Fixversion das Plugin-Changelog prüfen, da ein früherer Changelog-Eintrag eine andere Korrektur beschreibt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-125767 www.cve.org
- Patchstack advisory patchstack.com
- VulDB CVE entry vuldb.com
- OffSeq threat radar radar.offseq.com
- WordPress.org plugin page social-pug wordpress.org
- Wordfence threat intelligence social-pug www.wordfence.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:37.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.