Divi Membership: Unauthentifizierte Rechteerweiterung zu Administrator
Zusammenfassung
Das WordPress-Plugin Divi Membership bis und mit Version 2.2.0 enthält eine Rechteerweiterung in der Verarbeitung der Registrierung (CWE-269). Ein nicht authentifizierter Angreifer kann einen manipulierten form_id-Wert übermitteln, um ein Konto mit der Administrator-Rolle zu registrieren und bei aktiviertem auto_login im selben Request als Administrator angemeldet zu werden. Der erforderliche WordPress-Nonce ist auf jeder Seite mit dem Registrierungsformular öffentlich sichtbar, weshalb die Voraussetzungen leicht erfüllt sind. Die Folge ist die vollständige Übernahme der Website (CVSS 9.8, kritisch).
Betroffen
- Divi Membership (DiviEngine), Versionen 0 bis und mit 2.2.0
Behoben in
- Unbekannt. Es wurde keine Herstellerangabe zu einer korrigierten Version gefunden. Das Änderungsprotokoll des Herstellers erwähnt diese CVE nicht.
Umgehung
- Keine Workaround-Angabe des Herstellers gefunden.
- Das Registrierungsformular von Divi Membership oder die öffentliche Benutzerregistrierung deaktivieren, bis eine korrigierte Version bestätigt ist.
Ausnutzung
- Öffentlicher Proof of Concept: keiner gelistet (TheHackerWire); bei unseren Recherchen nicht gefunden.
- CISA KEV: nicht gelistet. Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar ja.
Unsere Empfehlung
- Alle WordPress-Websites mit Divi Membership inventarisieren und die genaue Version erfassen.
- Auf Websites mit Version 2.2.0 oder älter das Registrierungsformular oder die öffentliche Registrierung sofort deaktivieren.
- Beim Hersteller DiviEngine eine schriftliche Bestätigung der korrigierten Version verlangen und prüfen, ob diese auch CVE-2026-19660 abdeckt.
- Administratorkonten und kürzliche Registrierungen prüfen; bei Auffälligkeiten Zugangsdaten zurücksetzen.
- Falls verfügbar, einen virtuellen Patch per WAF für den Registrierungs-Endpunkt in Betracht ziehen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Wordfence threat intelligence record www.wordfence.com
- DiviEngine Divi Membership product page diviengine.com
- DiviEngine Divi Membership changelog diviengine.com
- FreshySites security bulletin freshysites.com
- Rapid7 via Vulners vulners.com
- Strix CVE record www.strix.ai
- TheHackerWire vulnerability record www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:26.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.