WP Posts Password Batch Manager: Fehlende Autorisierung bei Massen-Passwortaktion
Zusammenfassung
Das WordPress-Plugin WP Posts Password Batch Manager bis Version 1.1 prüft bei einer Massen-Passwortaktion für Beiträge weder Benutzerrechte noch Nonces. Die Aktion läuft über einen Admin-Handler, der immer geladen wird. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann die Passwörter aller veröffentlichten Beiträge zurücksetzen oder überschreiben, wodurch passwortgeschützte Inhalte offengelegt oder alle Beiträge hinter einem vom Angreifer gewählten Passwort gesperrt werden können. Es ist keine Anmeldung nötig und der Angriff ist von niedriger Komplexität.
Betroffen
- WP Posts Password Batch Manager (WordPress-Plugin, Slug wp-posts-password-batch-manager) in den Versionen 0 bis einschliesslich 1.1
- Hersteller und Entwickler: Unbekannt
Behoben in
- Unbekannt. WPScan führt den Status als "No known fix".
Umgehung
- Plugin deaktivieren und deinstallieren, falls dessen Funktionalität nicht benötigt wird.
- Zugriff auf den WordPress-Adminbereich nach Möglichkeit auf bestimmte IP-Adressen beschränken.
- Website-Inhalte und Datenbank vor Änderungen sichern.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn. Die CVE ist nicht in der KEV-Liste.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.
- EPSS: unter 1 Prozent (sehr niedrig).
- Öffentlicher Proof of Concept: unklar; kein verifizierter Exploit-Code gefunden.
Unsere Empfehlung
- Prüfen, ob das Plugin auf WordPress-Websites installiert ist, einschliesslich Test- und Staging-Systemen.
- Plugin sofort deaktivieren und entfernen, da keine korrigierte Version bekannt ist.
- Prüfen, ob der Passwortschutz von Beiträgen unerwartet geändert wurde, und die korrekten Einstellungen wiederherstellen.
- Web-Server- und WordPress-Logs auf nicht authentifizierte Anfragen an den Adminbereich prüfen.
- Hersteller und wordpress.org auf eine korrigierte Version überwachen, bevor das Plugin wieder installiert wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability entry wpscan.com
- OpenCVE CVE-2026-89283 app.opencve.io
- VulDB CVE-2026-89283 vuldb.com
- Vulners NVD record CVE-2026-89283 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 08:55.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.