VikAppointments Services Booking Calendar: Unauthentifizierte Löschung beliebiger Dateien

Zusammenfassung

Das WordPress-Plugin VikAppointments Services Booking Calendar enthält eine ungenügende Validierung von Dateipfaden in seiner Funktion extract. Ein nicht authentifizierter Angreifer kann beliebige Dateien auf dem Server löschen, zum Beispiel wp-config.php, was zu Remote Code Execution führen kann. Voraussetzung für die Ausnutzung ist mindestens ein File-Typ-Custom-Field, das auf der Shortcode-Seite der Bestätigungsseite veröffentlicht ist; dieses wird standardmässig nicht angelegt.

Betroffen

• WordPress-Plugin VikAppointments Services Booking Calendar, alle Versionen bis und mit 1.2.21
• Unbekannt, ob 1.2.22 betroffen ist: Eine Drittquelle führt sie als betroffen auf, was dem Changelog des Herstellers widerspricht

Behoben in

• Version 1.2.22 (gemäss Changelog des Herstellers und Advisory PT-2026-104544)

Umgehung

• Vom Hersteller bestätigte Workarounds: keine gefunden.
• Keine Empfehlung des Herstellers: Shortcode der Bestätigungsseite prüfen und File-Typ-Custom-Fields daraus entfernen, um die Exposition zu verringern.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial
• Nicht im CISA-KEV-Katalog aufgeführt
• Kein öffentlicher Proof of Concept bestätigt
• EPSS etwa 0,9 Prozent
• Ausnutzung in freier Wildbahn: unbekannt

Unsere Empfehlung

• Plugin auf allen Websites auf Version 1.2.22 oder neuer aktualisieren und die installierte Version anschliessend prüfen.
• Prüfen, ob auf einer Bestätigungsseite ein File-Typ-Custom-Field veröffentlicht ist; falls ja, dieses bis zur Aktualisierung entfernen.
• Vor dem Update ein vollständiges Backup erstellen.
• Auf unerwartet fehlende Core- oder Konfigurationsdateien achten und die Exposition der Plugins auf öffentlich erreichbaren Buchungsseiten überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• PT-2026-104544 advisory (PT Security) vulners.com
• WordPress plugin listing: VikAppointments wordpress.org
• Wordfence threat intelligence record www.wordfence.com
• Trac changeset 3721264 (VikAppointments) plugins.trac.wordpress.org
• Rapid7 vulnerability record via Vulners vulners.com
• Strix CVE record CVE-2026-87115 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:36.