Progress Planner: Broken Access Control im WordPress-Plugin

Zusammenfassung

Das WordPress-Plugin Progress Planner bis und mit Version 1.10.0 enthält eine Schwachstelle vom Typ Broken Access Control (CWE-862). Ein Angreifer mit einem Subscriber-Konto, der niedrigsten WordPress-Rolle, kann auf Funktionen oder Daten zugreifen, die eingeschränkt sein sollten. Der CVSS-Wert von 8.8 stammt aus den Datensätzen des CNA und von CISA-ADP, da die NVD-Analyse zum Zeitpunkt der Erstellung noch ausstand. Eine tatsächliche Ausnutzung wurde nicht bestätigt.

Betroffen

• Progress Planner WordPress-Plugin 1.10.0 und früher

Behoben in

• Version 1.10.1 (gemäss CVE-Eintrag und Patchstack)
• Das Changelog des Herstellers zu Version 1.10.1 erwähnt verstärkte Berechtigungsprüfungen, nennt diese CVE jedoch nicht.
• Das kostenlose Plugin hat das Ende des Supports erreicht, daher sind keine weiteren korrigierten Versionen bekannt.

Umgehung

• Dem Hersteller ist keine Workaround-Massnahme bekannt.
• Offene Registrierung einschränken, die Standardrolle überprüfen und bestehende Subscriber-Konten kontrollieren (allgemeine Härtung, keine Empfehlung des Herstellers).
• Plugin entfernen, falls kein Update auf 1.10.1 möglich ist.

Ausnutzung

• Es wurden keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• CISA-ADP markiert die Schwachstelle als nicht automatisierbar. Patchstack stuft sie als hohe Priorität ein und erwartet eine Ausnutzung.
• Es wurde kein öffentlicher Proof of Concept gefunden. Der NVD-Status ist zurückgestellt (deferred).

Unsere Empfehlung

• Alle WordPress-Websites auf Progress Planner prüfen.
• Jede Website mit Version 1.10.0 oder früher sofort auf 1.10.1 aktualisieren; Websites mit offener Registrierung haben Priorität.
• Ersatz für das kostenlose Plugin planen, da es keine Updates mehr erhält.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record (CISA ADP) raw.githubusercontent.com
• Patchstack advisory for CVE-2026-62072 patchstack.com
• Vendor plugin page and changelog (WordPress.org) wordpress.org
• Strix mirror of CVE-2026-62072 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:24.