WP Duplicate Plugin: Beliebiger Datei-Upload durch authentifizierte Abonnenten
Zusammenfassung
Das WordPress-Plugin WP Duplicate (local-sync) bis einschliesslich Version 1.1.11 erlaubt einem authentifizierten Benutzer mit der Rolle Subscriber, beliebige Dateien auf den Server hochzuladen. Ein Angreifer, der ein Subscriber-Konto erhalten kann, etwa über eine offene Registrierung, könnte ausführbaren Code hochladen und die Website übernehmen. Patchstack stuft die Lücke als hohe Priorität ein und erwartet eine Ausnutzung, während die CISA-SSVC-Bewertung derzeit keine Ausnutzung verzeichnet.
Betroffen
- WP Duplicate (Slug local-sync) bis einschliesslich 1.1.11
- Erforderliche Berechtigung: Subscriber-Konto
- Die frühere CVE-2026-1499 betrifft Versionen bis einschliesslich 1.1.8 (fehlende Autorisierung führt zu beliebigem Datei-Upload)
Behoben in
Unbekannt. Es wurde bis zu den geprüften Quellen kein Herstellerpatch oder keine korrigierte Version bestätigt.
Umgehung
- Plugin auf Produktivsystemen deaktivieren und löschen
- Falls es verbleiben muss, die Benutzerregistrierung einschränken und Konten mit der Rolle Subscriber prüfen
- Upload- und Plugin-Verzeichnisse auf unerwartete PHP- oder andere ausführbare Dateien prüfen
- Patchstack hat eine Schutzregel veröffentlicht, die Angriffe blockiert, bis ein offizieller Patch verfügbar ist
Ausnutzung
- Zum Zeitpunkt der geprüften Quellen nicht als aktiv ausgenutzt (KEV) gelistet
- Kein öffentlicher Proof of Concept für diese CVE gefunden
- Patchstack erwartet eine Ausnutzung; CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total
- Die NVD-Analyse steht aus; Angaben zur Ausnutzung sind möglicherweise unvollständig
Unsere Empfehlung
- Alle WordPress-Websites mit installiertem WP Duplicate Plugin ermitteln, einschliesslich Staging- und Migrationssysteme
- Plugin entfernen, falls es nicht zwingend benötigt wird; dies ist die einzige vollständige Massnahme
- Offene Benutzerregistrierung einschränken oder deaktivieren und Konten mit der Rolle Subscriber prüfen
- Webverzeichnisse auf unerwartete PHP-Dateien prüfen und Upload-Verzeichnisse überwachen
- Prüfen, ob CVE-2026-1499 eine installierte Version betrifft, und den Status beider CVEs regelmässig überprüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-39755 patchstack.com
- GitHub advisory GHSA-r262-f4qm-hrp9 (CVE-2026-1499) github.com
- HOL Guard CVE-2026-39755 hol.org
- Strix CVE-2026-39755 www.strix.ai
- WordPress.org plugin page local-sync wordpress.org
- XeroWP local-sync xerowp.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:37.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.