uListing WordPress-Plugin: Fehlende Autorisierung erlaubt Änderung von Einstellungen
Zusammenfassung
Das WordPress-Plugin uListing bis einschliesslich Version 2.2.0 prüft beim Ändern der Plugin-Einstellungen die Berechtigungen nicht korrekt (CWE-862). Ein angemeldeter Benutzer mit der Rolle Subscriber kann dadurch Plugin-Einstellungen ändern und die vorgesehenen Berechtigungskontrollen umgehen. Der Angreifer benötigt ein gültiges Konto mit niedrigen Rechten, anonymer Zugriff allein genügt nicht; offene Registrierungen erleichtern jedoch die Beschaffung solcher Konten.
Betroffen
- WordPress-Plugin uListing bis einschliesslich Version 2.2.0 (gemäss Patchstack und CVE-Eintrag)
- Beginn des betroffenen Bereichs: Unbekannt.
Behoben in
- Unbekannt. Zum Zeitpunkt der Erstellung wurde keine korrigierte Version und keine Herstellerwarnung gefunden.
Umgehung
- Plugin deaktivieren und entfernen, sofern es nicht geschäftskritisch ist.
- Subscriber-Konten prüfen und die offene Selbstregistrierung einschränken oder deaktivieren.
- uListing-Einstellungen auf unerwartete Änderungen prüfen und bekannte, korrekte Werte wiederherstellen.
- Patchstack bietet Virtual-Patching-Regeln für uListing an; ob eine Regel diese CVE abdeckt, ist nicht bestätigt.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
- Kein öffentlicher Proof of Concept gefunden.
- Zum Zeitpunkt der Erstellung nicht als aktiv ausgenutzt gelistet.
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung; diese Einschätzung ist nicht unabhängig bestätigt.
Unsere Empfehlung
- Hohe Priorität für alle Websites mit uListing 2.2.0 oder älter, insbesondere bei offener Registrierung.
- Plugin nach Möglichkeit entfernen oder deaktivieren.
- Plugin-Einstellungen auf unerwartete Änderungen prüfen.
- Patchstack-Eintrag und Hersteller auf eine korrigierte Version überwachen; CVE-ID vor der Anwendung von Advisory-Daten prüfen, da ähnliche uListing-CVEs existieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-62033 patchstack.com
- OpenCVE CVE-2026-62033 app.opencve.io
- Vulners CVE-2026-62033 vulners.com
- HOL Guard CVE-2026-62033 hol.org
- Strix CVE-2026-62033 www.strix.ai
- Wordfence uListing 2.2.0 Missing Authorization www.wordfence.com
- Patchstack uListing 2.1.7 Subscriber privilege escalation patchstack.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 10:03.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.