GDPR Framework By Data443: Unauthentifizierte PHP Object Injection
Zusammenfassung
Das WordPress-Plugin GDPR Framework By Data443 bis einschliesslich Version 2.5.0 enthält eine unauthentifizierte PHP Object Injection-Schwachstelle (CWE-502). Ein nicht angemeldeter Angreifer aus dem Netz kann manipulierte serialisierte Daten an das Plugin senden, was die serverseitige Verarbeitung beeinflussen und möglicherweise zu Remote Code Execution führen kann; die Auswirkungen sind nicht verifiziert. Der Hersteller hat bisher keine behobene Version bestätigt, der CVSS-Basiswert beträgt 9.8 (kritisch).
Betroffen
- WordPress-Plugin GDPR Framework By Data443, alle Versionen bis einschliesslich 2.5.0
- Die neueste Version ist laut CVE-Beschreibung betroffen
Behoben in
- Unbekannt. Es wurde keine behobene Version und keine Herstellerwarnung gefunden.
- Patchstack nennt 2.5.1 als gepatchte Version; dies wurde vom Hersteller nicht bestätigt und sollte vor einer Verwendung überprüft werden.
Umgehung
- Plugin deaktivieren, bis eine Behebung bestätigt ist; vorher prüfen, ob Cookie-Consent- oder Betroffenenanfragen-Funktionen benötigt werden.
- Zugriff auf die Website einschränken oder sie hinter einer Web Application Firewall (WAF) mit Regeln für serialisierte PHP-Payloads betreiben.
Ausnutzung
- CISA KEV: nicht gelistet.
- Öffentlicher Proof of Concept: keiner gefunden; der Forscher hält Exploit-Details zurück.
- Beobachtete Ausnutzung in freier Wildbahn: unbekannt.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
- Patchstack erwartet eine Ausnutzung; dies ist eine Prognose, kein beobachtetes Ereignis.
Unsere Empfehlung
- Prüfen, ob das Plugin auf allen WordPress-Instanzen installiert ist, einschliesslich Staging-Systemen und Sites von Drittanbietern.
- Plugin deaktivieren oder Zugriff einschränken, falls es nicht geschäftskritisch ist, insbesondere auf internetexponierten Websites.
- Sobald der Hersteller eine bestätigt behobene Version veröffentlicht (Patchstack nennt 2.5.1), auf diese aktualisieren.
- Webserver-Logs auf verdächtige POST-Anfragen an die Plugin-Endpunkte prüfen und weitere Aktivitäten überwachen.
- Zusätzlich beachten: CVE-2026-14816, eine separate fehlende Autorisierung, behoben in Version 2.4.0.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-39797 patchstack.com
- WordPress.org plugin page GDPR Framework wordpress.org
- TheHackerWire CVE-2026-39797 www.thehackerwire.com
- Strix CVE-2026-39797 www.strix.ai
- GitHub astruzocyber CVE issue 1187 github.com
- Researcher LevinityCyber levinitycyber.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:11.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.