Divi Membership: Authentifizierungsumgehung erlaubt Anmeldung als beliebiger Benutzer
Zusammenfassung
Divi Membership für WordPress bis einschliesslich Version 2.3.0 enthält eine Authentifizierungsumgehung in der Verarbeitung des PayPal-Callbacks. Ein nicht angemeldeter Angreifer kann über den GET-Parameter paypal_param eine beliebige Benutzer-ID angeben und sich als beliebiger bestehender WordPress-Benutzer anmelden, einschliesslich Administratoren, was zu einer vollständigen Übernahme der Website führt. Der verwundbare Code läuft bei jeder Anfrage an den öffentlichen Bereich, da gateway-Klasse für PayPal unabhängig davon instanziiert wird, ob PayPal aktiviert ist.
Betroffen
- Divi Membership alle Versionen bis einschliesslich 2.3.0
- Unbekannt, ob eine spätere Version behoben ist
Behoben in
Unbekannt. Es wurde weder eine Herstellerwarnung noch eine Versionsnummer mit Behebung gefunden.
Umgehung
- Plugin deaktivieren und entfernen, falls die Mitgliederfunktionen nicht geschäftskritisch sind
- Zugriff am Netzwerkrand einschränken, falls die Website online bleiben muss (keine verifizierte Regelsammlung verfügbar)
Ausnutzung
- CISA SSVC: Automatisierbar ja, technische Auswirkung total, Ausnutzung keine
- Nicht in CISA KEV aufgeführt; keine bestätigte Ausnutzung in freier Wildbahn gemeldet
- Status des öffentlichen PoC widersprüchlich und nicht verifiziert; es ist damit zu rechnen, dass Exploit-Code rasch auftaucht
Unsere Empfehlung
- Alle WordPress-Websites mit Divi Membership inventarisieren und deren Versionen erfassen
- Plugin auf Websites mit Version 2.3.0 oder älter deaktivieren, sofern es nicht unverzichtbar ist
- Bei DiviEngine die gepatchte Version und die Warnung anfordern, auch für CVE-2026-19652
- Administratorkonten, kürzlich erstellte Administratoren und aktive Sitzungen prüfen; Administratorpasswörter zurücksetzen und Sitzungen ungültig machen
- Logs auf Anfragen an den öffentlichen Bereich mit dem Parameter paypal_param prüfen
- NVD-Eintrag und Wordfence-Eintrag auf Aktualisierungen überprüfen
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (2 Repositories)
murrez/CVE-2026-19660 · MRdark-ops/CVE-2026-19660-exploit
Quellen der Recherche
- Wordfence threat intelligence record www.wordfence.com
- DiviEngine Divi Membership changelog diviengine.com
- OpenCVE CVE-2026-19660 app.opencve.io
- TheHackerWire CVE-2026-19660 www.thehackerwire.com
- Freshysites security bulletin CVE-2026-19652 (related) freshysites.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:28.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.