JobZilla WordPress Theme: Privilegienerweiterung für Subscriber
Zusammenfassung
Das JobZilla - Job Board WordPress Theme bis und mit Version 2.2 enthält eine Schwachstelle zur Privilegienerweiterung (CWE-266, Incorrect Privilege Assignment). Ein Angreifer mit einem Subscriber-Konto mit geringen Rechten kann die Kontrolle über die betroffene WordPress-Website mit Administratorrechten übernehmen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Der Angreifer benötigt zuerst ein Subscriber-Konto, was bei Job-Boards mit offener Selbstregistrierung einfacher ist. Eine korrigierte Version ist noch nicht bestätigt.
Betroffen
- DexignZone JobZilla - Job Board WordPress Theme, Versionen bis und mit 2.2
- Benötigte Berechtigung: Subscriber-Konto
Behoben in
Unbekannt. Der Hersteller oder Patchstack hat noch keine korrigierte Version bestätigt. Version 2.3 sollte ohne schriftliche Bestätigung nicht als Korrektur angenommen werden.
Umgehung
- Keine vom Hersteller veröffentlichte Massnahme gefunden.
- Offene Benutzerregistrierung deaktivieren, falls das Job-Board sie nicht benötigt.
- Bestehende Subscriber-Konten auf unerwartete oder erhöhte Rollen prüfen.
- Auf neu erstellte Administrator- oder Editor-Konten achten.
Ausnutzung
- Nicht in CISA KEV aufgeführt; CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung, es wurde jedoch kein öffentlicher Proof of Concept gefunden.
- EPSS wird mit 0.34% angegeben.
Unsere Empfehlung
- Installierte Theme-Version und offene Benutzerregistrierung prüfen.
- Bei DexignZone oder Patchstack nachfragen, welche Version CVE-2026-39775 behebt.
- Bis zur Bestätigung einer Korrektur die oben genannten Massnahmen anwenden.
- Falls verfügbar, das Virtual Patching von Patchstack prüfen.
- Subscriber- und Administratorkonten regelmässig kontrollieren und geprüfte Backups aufbewahren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-39775 patchstack.com
- ThemeForest JobZilla product page themeforest.net
- HOL CVE-2026-39775 hol.org
- Strix CVE-2026-39775 www.strix.ai
- GitHub issue tracker entry (EPSS, KEV status) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:26.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.