LeadSnap WordPress-Plugin: PHP Object Injection
Zusammenfassung
Das WordPress-Plugin LeadSnap bis Version 1.25 enthält eine Schwachstelle für PHP Object Injection ohne Authentifizierung (CWE-502). Ein Angreifer, der die Website über das Netzwerk erreichen kann, kann präparierte Daten senden, die das Plugin deserialisiert. Dadurch können schädliche Aktionen auf dem Server möglich werden, abhängig von anderen auf der Website installierten Plugins oder Themes. Die CNA (Patchstack) stuft die Schwachstelle mit CVSS 9.8 (kritisch) ein. Ob Version 1.25 tatsächlich betroffen ist, ist umstritten, da das Changelog des Herstellers 1.25 als Version beschreibt, die eine Schwachstelle entfernt hat.
Betroffen
- LeadSnap WordPress-Plugin bis und mit Version 1.25 (gemäss CVE-Eintrag)
- Hinweis: Das Changelog des Herstellers führt 1.25 als Sicherheitsupdate auf, was dem CVE-Bereich widerspricht. Nicht verifiziert.
Behoben in
Unbekannt. Für CVE-2026-90888 ist keine korrigierte Version bestätigt. Es ist nicht davon auszugehen, dass 1.25 sicher ist, bis dies verifiziert wurde.
Umgehung
- Kein Workaround des Herstellers gefunden.
- Plugin deaktivieren und entfernen, falls der Lead-Connector nicht zwingend benötigt wird.
- Prüfen, ob eine WAF oder ein Virtual Patch dieses Plugin abdeckt (keiner speziell für diese CVE gefunden).
Ausnutzung
- Patchstack stuft eine Ausnutzung als erwartet und automatisierbar ein (CISA SSVC: Automatisierbar ja, technische Auswirkung total).
- OffSeq und Strix führen die CVE als nicht bekannt ausgenutzt und nicht im CISA KEV.
- VulDB gibt an, dass kein Exploit verfügbar und keine technischen Details bekannt sind.
- Kein öffentlicher Proof of Concept gefunden; der Eintrag wurde kürzlich veröffentlicht, weshalb dies erneut geprüft werden sollte.
Unsere Empfehlung
- Alle WordPress-Websites mit installiertem LeadSnap inventarisieren, einschliesslich Kundenwebsites.
- LeadSnap dort deaktivieren und entfernen, wo es nicht benötigt wird.
- Wo es benötigt wird, das Changelog des Herstellers und das Patchstack-Advisory täglich prüfen, bis eine korrigierte Version bestätigt ist.
- Weitere Plugins und Themes auf denselben Websites prüfen, da die Auswirkung von Object Injection von Gadget-Ketten abhängt.
- Webserver-Logs auf verdächtige Anfragen überwachen und Backups verfügbar halten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-90888 patchstack.com
- WordPress.org LeadSnap plugin page and changelog wordpress.org
- Wordfence: LeadSnap up to 1.23 unauthenticated PHP object injection www.wordfence.com
- OffSeq Radar CVE-2026-90888 radar.offseq.com
- Strix CVE-2026-90888 www.strix.ai
- VulDB entry 429302 vuldb.com
- Invicti: LeadSnap PHP object injection 1.23 www.invicti.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:30.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.