Taskbot WordPress-Plugin: Beliebiger Datei-Upload
Zusammenfassung
Das WordPress-Plugin Taskbot bis einschliesslich Version 6.6 enthält eine Schwachstelle zum beliebigen Datei-Upload (CWE-434). Ein Angreifer mit einem Subscriber-Konto kann beliebige Dateien auf den Server hochladen, was bei Ausführung der hochgeladenen Dateien zur Übernahme der Website führen kann. Die CVE-Angaben und die Patchstack-Seite stufen die Schwachstelle mit CVSS 9.9 ein, doch die Schwachstellenklasse ist im Advisory nicht bestätigt, da eine Quelle sie als beliebiges Datei-Lesen beschreibt.
Betroffen
- Taskbot WordPress-Plugin (AmentoTech), Versionen bis einschliesslich 6.6
- Standardkonfiguration: nicht betroffen (laut CVE-Eintrag)
- Erforderliche Berechtigung: Subscriber-Konto
Behoben in
Unbekannt. Es wurde keine korrigierte Version und kein Herstellerhinweis gefunden.
Umgehung
- Kein Workaround des Herstellers gefunden.
- Offene Subscriber-Registrierung einschränken oder deaktivieren, falls der Marktplatz sie nicht benötigt.
- PHP-Ausführung in Upload-Verzeichnissen wie wp-content/uploads blockieren.
- Neue Uploads auf unerwartete Dateien prüfen und Subscriber-Konten auf Auffälligkeiten kontrollieren.
Ausnutzung
- Nicht als aktiv ausgenutzt (KEV) gelistet.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: keine Ausnutzung, nicht automatisierbar, totale technische Auswirkung.
- Patchstack erwartet eine Ausnutzung und weist darauf hin, dass ähnliche Schwachstellen in Massenangriffen eingesetzt werden.
Unsere Empfehlung
- Prüfen, ob eine installierte Taskbot-Version 6.6 oder niedriger ist.
- Bei Betroffenheit AmentoTech oder den Entwickler für die aktuelle Version kontaktieren oder das Plugin deaktivieren, bis eine Korrektur verifiziert ist.
- Subscriber-Registrierung einschränken sowie Uploads und neue Konten überwachen.
- Das Patchstack-Advisory beschaffen, um die Schwachstellenklasse und die korrigierte Version zu bestätigen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack: Taskbot WordPress plugin <= 6.6 Arbitrary File Upload patchstack.com
- HOL Guard: CVE-2026-39757 Taskbot hol.org
- CodeCanyon: Taskbot - A Freelancer Marketplace WordPress Plugin codecanyon.net
- Pluginizer: Taskbot Freelance and Jobs Marketplace pluginizer.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:38.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.