Enable Media Replace WordPress-Plugin: PHP Object Injection durch Subscriber-Benutzer

Zusammenfassung

Das WordPress-Plugin Enable Media Replace bis einschliesslich Version 4.2.2 enthält eine PHP-Object-Injection-Schwachstelle (CWE-502), die von Benutzern mit der Rolle Subscriber ausgelöst werden kann. Ein angemeldeter Angreifer mit einem Konto mit niedrigen Rechten kann möglicherweise die Verarbeitung serialisierter Daten manipulieren, was zu Codeausführung, Datenmanipulation oder Denial of Service auf dem Server führen kann. Der Angriff setzt ein gültiges Subscriber-Konto auf der Website voraus, weshalb Websites ohne offene Registrierung einem geringeren Risiko ausgesetzt sind. Der CVSS-Basiswert ist laut CNA 8.8; VulDB bewertet ihn mit 6.3, und der genaue Codepfad ist nicht verifiziert.

Betroffen

• WordPress-Plugin Enable Media Replace (ShortPixel) in den Versionen 4.2.2 und früher
• Erforderliche Berechtigung: Subscriber (gemäss CVE-Eintrag und Patchstack; andere Quellen widersprechen sich)

Behoben in

• Version 4.2.3 (gemäss Patchstack und WordPress.org-Changelog vom 26. Oktober 2026; der Changelog nennt diese CVE nicht)

Umgehung

• Keine vom Hersteller freigegebene Workaround-Massnahme bekannt.
• Subscriber-Konten entfernen oder einschränken und offene Benutzerregistrierung deaktivieren, bis das Plugin aktualisiert ist.
• Deaktivierung des Plugins bis zur Aktualisierung beseitigt die Exposition.

Ausnutzung

• Gemäss OffSeq nicht als ausgenutzt bekannt; nicht im CISA KEV aufgeführt.
• CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total.
• Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung; eine öffentliche Nuclei-Erkennungsvorlage soll verfügbar sein.
• Kein öffentlicher Proof of Concept gefunden; nicht bestätigt, dass keiner existiert.

Unsere Empfehlung

• Alle WordPress-Websites mit Enable Media Replace erfassen und die installierte Version notieren.
• Plugin auf Version 4.2.3 oder neuer aktualisieren oder es bis zur Aktualisierung deaktivieren.
• Subscriber-Konten und Benutzerregistrierung auf betroffenen Websites prüfen.
• Patchstack-Hinweis und NVD in einigen Tagen erneut prüfen, da der Eintrag noch Deferred ist und sich Angaben zu Berechtigung und Version ändern können.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory patchstack.com
• WordPress.org plugin page wordpress.org
• WPScan plugin entry wpscan.com
• Wordfence threat intel www.wordfence.com
• OffSeq radar entry radar.offseq.com
• Strix CVE entry www.strix.ai
• VulDB entry vuldb.com
• Vulners PT-2026-133791 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:41.