STAGGS WordPress-Plugin: Remote Code Inclusion ermöglicht Codeausführung

Zusammenfassung

Das STAGGS-Plugin für WordPress bis und mit Version 3.3.0 enthält eine Code-Injection-Schwachstelle (CWE-94), die Remote Code Inclusion ermöglicht. Ein nicht authentifizierter Angreifer aus der Ferne kann die Anwendung dazu bringen, Code aus einer externen Quelle zu laden und auszuführen, was Patchstack als Remote Code Execution einstuft. Eine erfolgreiche Ausnutzung kann zur vollständigen Kompromittierung der betroffenen Website führen, mit einem CVSS-3.1-Basiswert von 10.0 (Critical). Die genau betroffene Komponente und der Parameter sind in den Quellen nicht öffentlich beschrieben.

Betroffen

• STAGGS-WordPress-Plugin, alle Versionen bis und mit 3.3.0
• Versionen von n/a bis 3.3.0 gemäss CVE-Eintrag

Behoben in

• Version 3.4.0 (gemäss Patchstack und CVE-Eintrag; noch nicht durch den Hersteller bestätigt)

Umgehung

• Kein vom Hersteller bestätigter Workaround.
• Die Deaktivierung oder Entfernung des Plugins ist die sichere Option, sofern dessen Funktionalität nicht unverzichtbar ist.
• Eine Web Application Firewall oder ein Virtual Patch kann die Exposition verringern, ist aber keine Behebung.

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn per 11. Nov 2026.
• Gemäss OffSeq nicht im CISA-KEV-Katalog aufgeführt.
• Kein öffentlicher Exploit-Code in Metasploit oder Exploit-DB indexiert.
• Patchstack erwartet eine Ausnutzung und weist darauf hin, dass sie in Massenangriffskampagnen verwendet werden könnte.

Unsere Empfehlung

• Alle WordPress-Websites auf das STAGGS-Plugin prüfen und die installierte Version erfassen.
• Falls Version 3.3.0 oder älter installiert ist, so rasch wie möglich auf 3.4.0 oder neuer aktualisieren; die Fixversion vor dem Rollout anhand des Patchstack-Advisory bestätigen.
• Falls kurzfristig kein Update möglich ist, das Plugin deaktivieren.
• Nach dem Patchen oder Deaktivieren auf unbekannte PHP-Dateien, veränderte Core- oder Plugin-Dateien, neue Admin-Benutzer und unerwartete ausgehende Verbindungen prüfen.
• Das Patchstack-Advisory und den NVD-Eintrag auf Änderungen überwachen, da der NVD-Status Deferred ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  evenomn/CVE-2026-78287

Quellen der Recherche

• Patchstack advisory for CVE-2026-78287 patchstack.com
• Patchstack STAGGS plugin page patchstack.com
• OffSeq radar entry for CVE-2026-78287 radar.offseq.com
• Patchstack STAGGS vulnerabilities list patchstack.com
• Wikipedia: File inclusion vulnerability en.wikipedia.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:21.