Zoho Flow WordPress-Plugin: Nicht authentifizierte PHP Object Injection
Zusammenfassung
Das Zoho-Flow-Plugin für WordPress bis einschliesslich Version 2.14.5 enthält eine PHP Object Injection-Schwachstelle (CWE-502), die ohne Authentifizierung über das Netzwerk ausgelöst werden kann. Ein Angreifer, der präparierte serialisierte Daten an eine betroffene Website sendet, kann die Datenverarbeitung manipulieren, was je nach den auf der Website verfügbaren PHP-Klassen zu schädlichen Aktionen auf dem Server führen kann. Zum Zeitpunkt der Recherche wurde kein offizieller Patch bestätigt und die korrigierte Version ist unbekannt.
Betroffen
- Zoho Flow WordPress-Plugin bis und mit Version 2.14.5 (gemäss CVE-Eintrag und Patchstack)
- VulDB führt 2.14.0 bis 2.14.5; ob ältere Versionen betroffen sind, ist unbekannt.
Behoben in
Unbekannt. Es wurde keine korrigierte Version und kein Hersteller-Patch bestätigt.
Umgehung
- Plugin auf Websites deaktivieren und entfernen, wo es nicht benötigt wird.
- Falls es verbleiben muss, den Zugriff auf die Endpunkte des Plugins einschränken und die Webprotokolle überwachen.
- Beim WAF- oder Hosting-Anbieter nach Virtual Patching fragen; eine vom Hersteller veröffentlichte WAF-Regel ist nicht bekannt.
Ausnutzung
- Nicht bekanntermassen in freier Wildbahn ausgenutzt; nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof-of-Concept gefunden.
- Patchstack stuft die Priorität als hoch ein und erwartet eine Ausnutzung; VulDB bewertet die Ausnutzung als einfach (Einschätzung von VulDB, nicht durch einen Forscher bestätigt).
Unsere Empfehlung
- Alle WordPress-Websites inventarisieren und prüfen, ob Zoho Flow in Version 2.14.5 oder älter installiert ist.
- Plugin dort deaktivieren und entfernen, wo es nicht verwendet wird.
- Wo es verwendet wird, die Exposition einschränken und WAF- oder Hosting-seitigen Schutz einrichten.
- Patchstack-Advisory und WordPress.org-Changelog auf eine korrigierte Version überwachen, anschliessend aktualisieren und verifizieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-62131 patchstack.com
- VulDB entry 428558 vuldb.com
- WordPress.org plugin page Zoho Flow wordpress.org
- WPScan Zoho Flow plugin vulnerabilities wpscan.com
- CVE record mirror (threatint) cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 15:53.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.