DirectoryPress WordPress-Plugin: Unauthentifizierte Local File Inclusion
Zusammenfassung
DirectoryPress, ein WordPress-Plugin für Firmenverzeichnisse und Kleinanzeigen, enthält eine unauthentifizierte Local File Inclusion-Schwachstelle (CVE-2026-62032, CVSS 9.8, CWE-98). Ein nicht angemeldeter Angreifer kann die Website veranlassen, beliebige Serverdateien zu laden. Dies kann Konfigurationsdateien wie Datenbank-Zugangsdaten offenlegen und je nach Serverkonfiguration zur vollständigen Übernahme der Website führen. Für den Angriff ist keine Benutzerinteraktion nötig, und jede aus dem Internet erreichbare Website mit einer verwundbaren Version ist gefährdet.
Betroffen
- DirectoryPress WordPress-Plugin, alle Versionen bis und mit 3.6.27
- Die untere Grenze des betroffenen Bereichs ist unbekannt.
Behoben in
- Unbekannt. Der Hersteller hat zum Zeitpunkt der Erstellung keine korrigierte Version veröffentlicht.
- Es darf nicht davon ausgegangen werden, dass Version 3.6.27 sicher ist.
Umgehung
- Der Hersteller hat keine Workaround veröffentlicht.
- Plugin deaktivieren oder entfernen, falls die Verzeichnisfunktion nicht geschäftskritisch ist.
- Zugriff auf die Website nach Möglichkeit einschränken und prüfen, ob Verzeichniseinträge ohne Anmeldung erreichbar sind.
- WAF oder virtuelles Patchen eines Sicherheitsdienstleisters nutzen, sofern verfügbar; die Wirksamkeit ist nicht bestätigt.
Ausnutzung
- Ausnutzung in freier Wildbahn: keine Hinweise gefunden.
- Gemäss den geprüften Quellen nicht im CISA KEV-Katalog aufgeführt.
- Öffentlicher Proof of Concept: in den geprüften Quellen keiner gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung.
Unsere Empfehlung
- Alle WordPress-Websites mit DirectoryPress inventarisieren, einschliesslich Staging-Websites und Erweiterungen.
- Aus dem Internet erreichbare Websites als hohe Priorität behandeln: deaktivieren oder isolieren, oder WAF- bzw. virtuelles Patchen anwenden.
- Webserver-Logs und Dateiintegrität auf Missbrauchsspuren prüfen und Backups bereithalten.
- Patchstack-Hinweis und Herstellerkanäle auf eine korrigierte Version überwachen und sofort aktualisieren, sobald eine bestätigt ist.
- Korrigierte Version und Ausnutzungsstatus in ein bis zwei Wochen erneut prüfen, da der Eintrag noch analysiert wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- WordPress.org plugin page wordpress.org
- VulDB vuldb.com
- OpenCVE app.opencve.io
- HOL Guard hol.org
- Strix www.strix.ai
- Vulners Rapid7 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 19:40.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.