Taskbot WordPress-Plugin: Unauthentifizierte Rechteerweiterung
Zusammenfassung
Das WordPress-Plugin Taskbot in den Versionen bis und mit 6.6 enthält eine Schwachstelle zur Rechteerweiterung ohne Authentifizierung (CWE-266). Ein entfernter Angreifer ohne Konto kann erhöhte Rechte auf der WordPress-Website erlangen, was bis zur vollständigen administrativen Kontrolle führen kann. Der CVSS-Basiswert beträgt 9.8 (kritisch). Laut Patchstack ist kein Herstellerpatch verfügbar, und eine korrigierte Version ist nicht bestätigt.
Betroffen
- WordPress-Plugin Taskbot, Versionen <= 6.6 (AmentoTech)
- Standardkonfiguration: laut CNA-Eintrag nicht betroffen; der betroffene Bereich wird mit <= 6.6 angegeben
Behoben in
- Unbekannt. Patchstack meldet keinen offiziellen Patch.
- Keine korrigierte Version ableiten. Die installierte Version mit dem Update-Kanal des Herstellers (CodeCanyon) abgleichen.
Umgehung
- Plugin deaktivieren und entfernen, falls die Marktplatz-Funktionalität nicht benötigt wird.
- Falls das Plugin online bleiben muss, die Website hinter eine WAF stellen oder einen Virtual Patch anwenden (Patchstack hat eine Schutzregel veröffentlicht).
- Öffentliche Benutzerregistrierung einschränken oder deaktivieren, soweit der Betrieb dies zulässt.
- WordPress-Administratorkonten und kürzliche Rollenänderungen auf unbekannte Benutzer prüfen.
Ausnutzung
- Gemäss den geprüften Quellen nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird (CISA SSVC: Exploitation none).
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung; sie ist automatisierbar.
- In der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies schliesst dessen Existenz nicht aus.
Unsere Empfehlung
- Alle WordPress-Websites auf das Plugin Taskbot prüfen und die genaue Version sowie den Aktivierungsstatus erfassen.
- Falls Taskbot installiert und aktiv ist, das Plugin sofort deaktivieren oder die Schutzregel von Patchstack anwenden.
- Administratorkonten und Rollenänderungen auf unbekannte Benutzer prüfen und die Website auf unerwartete Plugin- oder Dateiänderungen kontrollieren.
- Den Patchstack-Eintrag und die Herstellerseite auf einen offiziellen Fix überwachen und den Ausnutzungsstatus regelmässig neu prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack: WordPress Taskbot plugin <= 6.6 Privilege Escalation patchstack.com
- HOL Guard: CVE-2026-39753 Taskbot privilege escalation hol.org
- Strix: CVE-2026-39753 www.strix.ai
- WPScan: Taskbot <= 6.6 Unauthenticated Privilege Escalation wpscan.com
- CodeCanyon: Taskbot - A Freelancer Marketplace WordPress Plugin codecanyon.net
- AmentoTech Ticksy support amentotech.ticksy.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:12.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.