Wordable WordPress-Plugin: Fehlende Zugriffskontrolle für Subscriber-Benutzer
Zusammenfassung
Das Wordable-Plugin für WordPress in den Versionen bis einschliesslich 8.2.10 enthält eine fehlerhafte Zugriffskontrolle (CWE-862). Ein angemeldeter Benutzer mit der niedrigsten Standardrolle Subscriber kann möglicherweise Aktionen ausführen oder Funktionen nutzen, die höheren Berechtigungen vorbehalten sind. Für den Angriff ist keine Benutzerinteraktion nötig; der CVSS-Wert beträgt 8.1 mit hohen Auswirkungen auf Vertraulichkeit und Integrität. Eine korrigierte Version oder eine Herstellerwarnung ist derzeit nicht bekannt.
Betroffen
- Wordable-Plugin für WordPress bis einschliesslich 8.2.10
- Erforderliche Berechtigung: Subscriber-Konto
Behoben in
Unbekannt. Zum Zeitpunkt der Recherche wurde keine korrigierte Version veröffentlicht.
Umgehung
- Plugin deaktivieren, falls der Inhaltsworkflow dies zulässt.
- Offene Benutzerregistrierung deaktivieren oder die Standardrolle auf eine Rolle ohne Inhaltsrechte setzen.
- Nicht benötigte Subscriber-Konten prüfen und entfernen sowie auf unerwartete Konten achten.
- Changelog von Wordable und den Patchstack-Eintrag auf eine korrigierte Version überwachen.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar nein.
- Nicht als aktiv ausgenutzt gelistet (KEV: Nein).
- Kein öffentlicher Proof of Concept gefunden; dies schliesst einen solchen nicht aus.
- EPSS ist niedrig (0.00326).
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung.
Unsere Empfehlung
- Prüfen, ob das Wordable-Plugin installiert ist und welche Version aktiv ist.
- Plugin auf Websites deaktivieren, auf denen es nicht zwingend benötigt wird.
- Offene Registrierung deaktivieren und nicht benötigte Subscriber-Konten entfernen.
- Patchstack- und NVD-Einträge überwachen und sofort aktualisieren, sobald eine korrigierte Version verfügbar ist.
- Websites mit offener Registrierung als hohes Risiko, Websites mit geschlossener Registrierung und vertrauenswürdigen Benutzern als mittleres Risiko behandeln.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack vulnerability entry CVE-2026-40801 patchstack.com
- OpenCVE CVE-2026-40801 app.opencve.io
- Strix CVE-2026-40801 www.strix.ai
- HOL Guard CVE-2026-40801 hol.org
- Vulners RAPID7 CVE-2026-40801 (EPSS) vulners.com
- Patchstack Wordable plugin overview patchstack.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:15.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.