YaySMTP WordPress-Plugin: Beliebiger Datei-Upload über die Dateiendung des Anhangs

Zusammenfassung

Das WordPress-Plugin YaySMTP bis und mit Version 2.7.7 validiert Dateitypen in seiner Funktion putFile ungenügend. Authentifizierte Benutzer mit mindestens Subscriber-Rechten können potenziell ausführbare Dateien hochladen, was zu Remote Code Execution auf dem Webserver führen kann. Die einzige serverseitige Schutzmassnahme, eine .htaccess-Datei, ist auf nginx und auf Apache mit AllowOverride None wirkungslos.

Betroffen

• YaySMTP-Plugin für WordPress, alle Versionen bis und mit 2.7.7
• Standardkonfiguration: laut CVE-Eintrag nicht betroffen; betroffene Versionen wie oben angegeben

Behoben in

• Version 2.7.8 (Changelog datiert 11. Oktober 2026)

Umgehung

• Kein vom Hersteller veröffentlichter Workaround.
• Nicht auf die .htaccess-Schutzmassnahme vertrauen; sie ist auf nginx und auf Apache mit AllowOverride None wirkungslos.
• Plugin deaktivieren und entfernen, bis ein Update verfügbar ist.
• Öffentliche Benutzerregistrierung einschränken oder deaktivieren und bestehende Subscriber-Konten prüfen.
• Upload-Verzeichnisse auf unerwartete Skriptdateien prüfen und sicherstellen, dass PHP dort auf Webserver-Ebene nicht ausgeführt werden kann.

Ausnutzung

• Authentifizierung erforderlich: Subscriber-Konto oder höher.
• In freier Wildbahn: in der Recherche nicht gefunden.
• CISA KEV: laut einem Drittanbieter-Tracker nicht gelistet; nicht direkt geprüft.
• EPSS: 0.00575 laut einem Aggregator; in einem anderen Tracker unbekannt.
• Öffentlicher Proof of Concept: keiner gefunden, die Suche war jedoch begrenzt.

Unsere Empfehlung

• YaySMTP auf allen WordPress-Seiten auf Version 2.7.8 oder neuer aktualisieren.
• Falls kein Update möglich ist, das Plugin deaktivieren.
• Die Seite auf unerwartete Dateien, insbesondere in Upload-Verzeichnissen, und auf unbekannte Subscriber-Konten prüfen.
• Offene Benutzerregistrierung einschränken und auf ungewöhnliche Uploads oder neue Konten achten.
• Seiten mit YaySMTP 2.7.7 oder älter als hohe Priorität behandeln.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• WordPress plugin trac: EmailLogAttachments.php (2.7.7) plugins.trac.wordpress.org
• WordPress plugin trac changeset 3739875 plugins.trac.wordpress.org
• Wordfence threat intelligence entry www.wordfence.com
• WordPress.org YaySMTP plugin page wordpress.org
• CVE description mirror (threatint) cve.threatint.com
• Strix CVE entry www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:05.