Popup Builder: Fehlende Autorisierung erlaubt Papierkorb-Verschiebung ohne Anmeldung

Zusammenfassung

Das WordPress-Plugin Popup Builder bis und mit Version 4.4.5 prüft nicht, ob ein Benutzer zu bestimmten Aktionen berechtigt ist. Ein nicht angemeldeter Angreifer kann mit einer einzigen GET-Anfrage alle veröffentlichten Popups der Website in den Papierkorb verschieben. Eine zweite Schwachstelle in der Vorschau-Verarbeitung führt dazu, dass die Aktion alle veröffentlichten Popups gleichzeitig betrifft. Es ist keine Anmeldung und keine Benutzerinteraktion nötig, daher ist jede öffentlich erreichbare WordPress-Website mit dem Plugin gefährdet.

Betroffen

• Popup Builder (WordPress-Plugin) Versionen 0 bis und mit 4.4.5

Behoben in

• Version 4.4.6 ist die wahrscheinliche Korrektur (aus dem Changelog des Herstellers abgeleitet, nicht durch den CVE-Eintrag bestätigt). Unbekannt, ob beide Schwachstellen behoben sind.

Umgehung

• Keine Workaround-Lösung des Herstellers bekannt.
• Die Deaktivierung des Plugins bis zur Aktualisierung beseitigt die Gefährdung (Empfehlung, keine Herstellerangabe).

Ausnutzung

• Gemäss OffSeq nicht als ausgenutzt bekannt (Stand 30. Okt 2026).
• Kein öffentlicher Proof of Concept und keine Berichte über Angriffe in freier Wildbahn gefunden. Dies ist kein bestätigter Ausschluss einer Ausnutzung.
• Das Plugin hat eine Geschichte von Massenausnutzungen durch eine frühere XSS-Schwachstelle (CVE-2023-6000).

Unsere Empfehlung

• Popup Builder auf allen WordPress-Websites auf Version 4.4.6 oder neuer aktualisieren und wo möglich automatische Plugin-Updates aktivieren.
• Falls ein Update nicht sofort möglich ist, das Plugin deaktivieren.
• Den Papierkorb auf fehlende Popups prüfen und diese wiederherstellen.
• Webserver-Logs auf nicht angemeldete Anfragen mit dem Parameter sg_popup_preview_id überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• WordPress.org: Popup Builder plugin page and changelog wordpress.org
• Wordfence threat intelligence: CVE-2026-89270 www.wordfence.com
• Trac: Filters.php at tag 4.4.5 (line 43) plugins.trac.wordpress.org
• Trac: SGPopup.php at tag 4.4.5 (line 1826) plugins.trac.wordpress.org
• OffSeq Radar: CVE-2026-89270 radar.offseq.com
• Techzine: Thousands of websites infected via vulnerable Popup Builder plugin www.techzine.eu

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 08:21.