AIWU WordPress-Plugin: Privilegienerweiterung zu Administrator
Zusammenfassung
Das WordPress-Plugin AIWU (auch als AI Copilot – Content Generator geführt) bis und mit Version 1.5.9 enthält eine Privilegienerweiterung, klassifiziert als CWE-266. Gemäss CVE-Eintrag und Patchstack-Advisory kann ein Benutzer mit niedrigen Rechten, etwa ein Subscriber, Administratorrechte erlangen und die volle Kontrolle über die Website übernehmen. Der CVSS-3.1-Vektor (9.8) setzt keine Rechte und keine Benutzerinteraktion voraus, der Titel verweist jedoch auf ein Subscriber-Konto, weshalb die tatsächliche Voraussetzung noch nicht vollständig bestätigt ist.
Betroffen
- AIWU WordPress-Plugin (WordPress-Paket ai-copilot-content-generator), alle Versionen bis und mit 1.5.9
- Die Herstellerangaben unterscheiden sich zwischen den Quellen (Sergey, wupsales); Autor und Slug im Plugin-Header der installierten Version prüfen
Behoben in
- Unbekannt. Weder Hersteller noch Patchstack nennen eine korrigierte Version.
- Version 1.5.9 darf nicht als sicher angenommen werden.
Umgehung
- Keine vom Hersteller veröffentlichte Massnahme gefunden.
- Plugin einschränken oder deaktivieren, falls es nicht zwingend benötigt wird.
- Prüfen, ob öffentliche Registrierung aktiviert ist, und die Kontoerstellung einschränken.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no.
- Nicht im CISA-KEV-Katalog; in den recherchierten Quellen wurde kein öffentlicher Proof of Concept gefunden.
- Patchstack stuft die Lücke als hohe Priorität ein und erwartet eine Ausnutzung.
- EPSS ca. 0.44 %.
Unsere Empfehlung
- Prüfen, ob das Plugin AIWU auf einer Website installiert ist, und die Version bestätigen.
- WordPress-Administrator- und Editor-Konten auf unerwartete Rollenänderungen prüfen.
- Plugin deaktivieren, falls es nicht benötigt wird, oder den Zugriff darauf einschränken.
- Die Patchstack-Seite und das WordPress.org-Changelog auf eine korrigierte Version überwachen und diese sofort einspielen, sobald sie verfügbar ist.
- Als Übergangsmassnahme ein allfälliges Patchstack-Virtual-Patch prüfen und anwenden.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-39801 patchstack.com
- OpenCVE CVE-2026-39801 (CISA SSVC data) app.opencve.io
- Vulners Rapid7 CVE-2026-39801 (EPSS) vulners.com
- HOL Guard CVE-2026-39801 hol.org
- Strix CVE-2026-39801 www.strix.ai
- WPVanguard AI Copilot Content Generator vulnerabilities wpvanguard.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:43.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.