Kognetiks Chatbot for WordPress: Nicht authentifizierter beliebiger Datei-Upload
Zusammenfassung
Das Plugin Kognetiks Chatbot for WordPress erlaubt bis einschliesslich Version 2.4.9 nicht authentifizierten Benutzern, beliebige Dateien hochzuladen. Ein Angreifer kann bösartige Dateien auf dem Webserver ablegen, die zur Übernahme der Website verwendet werden können. Es ist weder eine Anmeldung noch eine Benutzerinteraktion erforderlich. Der CVSS-Score beträgt 10.0 (Kritisch); die Analyse durch die NVD ist noch ausstehend.
Betroffen
- Kognetiks Chatbot for WordPress (Slug chatbot-chatgpt) bis einschliesslich 2.4.9
- Ob ein Administrator die Upload-Funktion aktivieren muss, damit die Lücke ausnutzbar ist: Unbekannt.
Behoben in
- Version 2.5.0 (Changelog des Herstellers)
- Version 2.5.1 ist ebenfalls verfügbar; sie behebt einen anderen Fehler (Sicherheitstoken beim Senden) und erwähnt keine weiteren Änderungen am Upload.
Umgehung
- Keine Workaround-Massnahme des Herstellers dokumentiert.
- Provisorische Option: Dateiverarbeitung in den Plugin-Einstellungen deaktivieren, sofern in Ihrer Version verfügbar (basierend auf der Dokumentation zu Version 2.4.4; Vorhandensein bitte prüfen).
- Wirksamste provisorische Option: Plugin deaktivieren und entfernen, bis das Update eingespielt ist.
Ausnutzung
- CISA KEV: nicht gelistet.
- EPSS-Score 0.49% (Drittanbieter-Aggregator, nicht FIRST).
- Öffentlicher Proof of Concept für CVE-2026-32579: Unbekannt (in den Recherchen nicht gefunden).
- Patchstack stuft die Lücke als hochgefährlich ein und erwartet eine Ausnutzung; sie gilt als für Massenangriffs-Kampagnen geeignet.
- Eine frühere nicht authentifizierte Upload-Lücke im selben Plugin (CVE-2024-32700) besitzt einen öffentlichen Proof of Concept.
Unsere Empfehlung
- Alle WordPress-Websites mit diesem Plugin identifizieren und die Version erfassen.
- Mindestens auf Version 2.5.0 aktualisieren, vorzugsweise auf 2.5.1, oder das Plugin entfernen, falls der Chatbot nicht benötigt wird.
- Upload- und Plugin-Verzeichnisse auf unerwartete PHP- oder andere Skriptdateien prüfen sowie Administratorkonten und kürzliche Änderungen überprüfen.
- NVD und das Changelog des Herstellers auf Aktualisierungen überwachen, da die Analyse durch die NVD noch aussteht.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory for CVE-2026-32579 patchstack.com
- Strix CVE mirror for CVE-2026-32579 www.strix.ai
- WPScan plugin page: chatbot-chatgpt wpscan.com
- Wordfence threat intelligence: chatbot-chatgpt www.wordfence.com
- Kognetiks release V2.5.0 (fix) github.com
- Kognetiks release V2.5.1 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:40.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.