Blubrry PowerPress Podcasting: Fehlende Autorisierung im WordPress-Plugin
Zusammenfassung
Das WordPress-Plugin PowerPress Podcasting bis und mit Version 11.18.2 verfügt über eine fehlende Autorisierungsprüfung (CWE-862). Ein authentifizierter Benutzer mit niedrigen Rechten, etwa ein Subscriber-Konto, kann auf Funktionen zugreifen, die ihm nicht zustehen sollten. Gemäss CVSS-Vektor ist die Auswirkung auf die Integrität gering; Vertraulichkeit und Verfügbarkeit sind nicht betroffen.
Betroffen
- WordPress-Plugin PowerPress Podcasting (Paket "powerpress"), alle Versionen bis und mit 11.18.2
- Erfordert ein authentifiziertes Konto mit niedrigen Rechten (z. B. Subscriber)
Behoben in
- Version 11.18.3 (gemäss CVE-Eintrag und Patchstack; Changelog des Herstellers noch nicht bestätigt)
Umgehung
- Unbekannt. Keine Workaround-Massnahme des Herstellers dokumentiert.
- Falls ein Update nicht sofort möglich ist, die Registrierung neuer Benutzer einschränken und bestehende Konten mit niedrigen Rechten prüfen. Dies ist allgemeine Härtung und keine verifizierte Behebung.
Ausnutzung
- Keine bekannte Ausnutzung gemeldet.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung teilweise.
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Das Plugin PowerPress Podcasting im nächsten Wartungsfenster auf Version 11.18.3 oder neuer aktualisieren.
- Die Plugin-Version auf allen WordPress-Websites prüfen, auch auf Websites, auf denen das Plugin installiert, aber nicht genutzt wird.
- Benutzerkonten überprüfen und die Selbstregistrierung deaktivieren, wo sie nicht benötigt wird.
- Hinweise des Herstellers beobachten, da in dieser Produktlinie weitere PowerPress-Schwachstellen bestehen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-125782 www.cve.org
- Patchstack advisory patchstack.com
- OffSeq Radar CVE-2026-125782 radar.offseq.com
- Strix CVE-2026-125782 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 21:18.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.