Creator LMS WordPress-Plugin: Beliebiger Datei-Upload
Zusammenfassung
Das WordPress-Plugin Creator LMS bis und mit Version 1.2.21 erlaubt einem authentifizierten Benutzer mit Contributor-Rechten, beliebige Dateien auf die Website hochzuladen. Patchstack bewertet die Schwachstelle mit CVSS 9.9 (kritisch) und weist darauf hin, dass Angreifer hochgeladene Schaddateien zur Übernahme des Servers nutzen könnten. Die NVD-Analyse ist noch ausstehend, und der Score stammt von der CNA; eine Ausnutzung in freier Wildbahn ist nicht bekannt.
Betroffen
- Creator LMS WordPress-Plugin, alle Versionen bis und mit 1.2.21
- Erforderliche Berechtigung: Contributor
Behoben in
- Version 1.2.22 oder neuer (laut Patchstack und Drittanbieter-Aggregatoren; noch nicht auf der Patchstack-Seite bestätigt)
Umgehung
- Dem Hersteller ist keine Workaround-Lösung bekannt.
- Contributor-Konten einschränken und überprüfen.
- Webserver so konfigurieren, dass Skripte in Upload-Verzeichnissen nicht ausgeführt werden.
Ausnutzung
- Ausnutzung in freier Wildbahn: nicht bekannt.
- SSVC-Daten: Ausnutzung keine, nicht automatisierbar.
- Kein öffentlicher Proof of Concept gefunden; EPSS 0.00259 (sehr niedrig).
Unsere Empfehlung
- Alle WordPress-Websites mit Creator LMS inventarisieren und die installierte Version erfassen.
- Auf die neueste Version aktualisieren, mindestens 1.2.22, und die fixe Version vorgängig überprüfen.
- Contributor- und höhere Konten überprüfen und nicht benötigte entfernen.
- Upload-Verzeichnisse auf unerwartete Skriptdateien prüfen und auf Anzeichen einer Kompromittierung untersuchen.
- Öffentlich erreichbare LMS-Websites mit Benutzerregistrierung als hohe Priorität behandeln.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-62129 patchstack.com
- Creator LMS on wordpress.org wordpress.org
- OpenCVE CVE-2026-62129 app.opencve.io
- VulDB CVE-2026-62129 vuldb.com
- Rapid7 via Vulners CVE-2026-62129 vulners.com
- HOL Guard CVE-2026-62129 hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:34.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.