Tourfic Pro WordPress-Plugin: Rechteausweitung zu Administrator
Zusammenfassung
Tourfic Pro bis und mit Version 1.17.3, ein WordPress-Add-on für die Buchung von Hotels, Touren und Mietwagen, enthält eine falsche Rechtezuweisung (CWE-266). Ein Angreifer kann höhere WordPress-Rechte erlangen, was die volle Kontrolle über die Website und gespeicherte Kunden- oder Buchungsdaten ermöglichen kann. Die CVE-Beschreibung nennt keine Authentifizierung, der CVSS-Vektor setzt jedoch niedrige Rechte voraus (PR:L), daher ist die genaue Voraussetzung unbestätigt. Der CVSS-Score beträgt 8.8, und Patchstack stuft die Schwachstelle als hohe Priorität ein.
Betroffen
- Tourfic Pro Plugin für WordPress, Versionen bis und mit 1.17.3
- Herstellername im CVE-Eintrag: Tourfic AI Studio (Themefic ist der wahrscheinliche Hersteller)
Behoben in
Unbekannt. Es ist keine korrigierte Pro-Version bestätigt. Patchstack meldet, dass kein offizieller Patch verfügbar ist.
Umgehung
Unbekannt. Der Hersteller hat keine Workaround veröffentlicht. Mögliche Übergangsmassnahmen:
- Öffentliche Benutzer- oder Anbieterregistrierung in den Tourfic-Einstellungen deaktivieren, sofern nicht benötigt
- Administrator- und Anbieterkonten auf unerwartete Rollenänderungen prüfen
- Zugriffe auf Plugin-Endpunkte mit einer Web Application Firewall einschränken oder überwachen
- Virtuelles Patching über eine WAF oder ein Sicherheitsplugin, falls verfügbar
Ausnutzung
- CISA SSVC: Exploitation none, Automatisierbar ja, technische Auswirkung total
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn in den geprüften Quellen gefunden
- Öffentlicher Proof of Concept: Unbekannt
Unsere Empfehlung
- Alle WordPress-Websites mit Tourfic Pro inventarisieren und die installierte Version prüfen
- Bei Betroffenheit die Registrierung einschränken und Benutzerkonten sowie Rollen auf unerwartete Änderungen prüfen
- Bis zu einer bestätigten und getesteten korrigierten Pro-Version Übergangsschutz wie eine WAF-Regel anwenden
- Sobald der Hersteller die erste korrigierte Pro-Version veröffentlicht, auf diese aktualisieren
- Logs auf Rollenänderungen und ungewöhnliche Administrationsaktivitäten überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-39774 patchstack.com
- WPScan vulnerability entry wpscan.com
- HOL Guard CVE-2026-39774 hol.org
- Offseq radar CVE-2026-39774 radar.offseq.com
- Tourfic Pro changelog tourfic.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:25.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.