GEO my WordPress: Unauthentifizierte PHP Object Injection

Zusammenfassung

Das WordPress-Plugin GEO my WordPress bis und mit Version 4.5.5.3 enthält eine PHP Object Injection-Schwachstelle (CWE-502), bei der nicht vertrauenswürdige Daten deserialisiert werden. Ein nicht authentifizierter Angreifer kann dies ohne Anmeldung über das Netzwerk ausnutzen, was eine Manipulation der serverseitigen Verarbeitung und potenziell schädliche Aktionen auf dem Webserver ermöglichen kann. Ob ein Angriff gelingt, hängt von den installierten Plugins und Bibliotheken ab, was nicht überprüft werden konnte.

Betroffen

• GEO my WordPress-Plugin bis und mit 4.5.5.3
• Patchstack und der CVE-Eintrag nennen als betroffene Versionen bis 4.5.5.3 (OffSeq nennt unter 4.5.5.4)

Behoben in

• Version 4.5.5.5 (Versionshinweise des Herstellers und Changelog auf WordPress.org)
• Widerspruch: Der Patchstack-Verweis zeigt auf 4.5.5.4; dies konnte nicht bestätigt werden, daher ist 4.5.5.5 die einzusetzende Version

Umgehung

• Unbekannt. Kein Workaround von Hersteller oder Patchstack gefunden.
• Übergangslösung: Plugin einschränken oder deaktivieren, bis es auf 4.5.5.5 aktualisiert wurde.

Ausnutzung

• Zum Zeitpunkt der Erstellung nicht als aktiv ausgenutzt bekannt (OffSeq). Laut einem GitHub-Tracking-Issue nicht im CISA-KEV-Katalog aufgeführt; der Katalog wurde nicht direkt geprüft.
• Kein öffentlicher Proof of Concept gefunden; VulDB gibt an, dass kein Exploit verfügbar ist.
• Unbekannt, ob auf typischen WordPress-Installationen eine nutzbare Gadget-Kette für Remote Code Execution existiert.

Unsere Empfehlung

• Alle WordPress-Seiten mit GEO my WordPress inventarisieren.
• Plugin umgehend auf Version 4.5.5.5 aktualisieren.
• Auf Anzeichen einer Kompromittierung prüfen, etwa unerwartete Administratorkonten, Web Shells und veränderte Dateien.
• Die Einträge von Patchstack und VulDB auf öffentliche Proofs of Concept oder eine KEV-Aufnahme überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory patchstack.com
• Vendor release v4.5.5.5 (GitHub) github.com
• WordPress.org plugin page and changelog wordpress.org
• VulDB entry vuldb.com
• OffSeq threat radar radar.offseq.com
• Strix CVE record www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:02.