Newsletters WordPress-Plugin: PHP Object Injection durch Deserialisierung unsicherer Daten

Zusammenfassung

Das WordPress-Plugin Newsletters (newsletters-lite) bis und mit Version 4.18.1 deserialisiert unsichere Daten, was eine PHP Object Injection (CWE-502) ermöglicht. Ein nicht authentifizierter Angreifer kann über das Netzwerk ohne Benutzerinteraktion präparierte Eingaben senden, wodurch er die Verarbeitung von Daten manipulieren und schädliche Aktionen auf dem Server ausführen kann. Jede öffentlich erreichbare WordPress-Seite mit einer betroffenen Version ist gefährdet.

Betroffen

• WordPress-Plugin Newsletters (newsletters-lite), Versionen bis und mit 4.18.1

Behoben in

• Version 4.18.2 (laut Patchstack und dem Changelog des Herstellers)

Umgehung

• Unbekannt. Die einzige in den Quellen genannte Massnahme ist das Aktualisieren des Plugins. Falls sich das Aktualisieren verzögert, ist das Deaktivieren des Plugins auf öffentlich erreichbaren Seiten bis zur Installation von 4.18.2 ein Vorschlag aus den Recherchenotizen, nicht aus einer Quelle.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable yes, Technical Impact total.
• Nicht im CISA-KEV-Katalog; keine Ausnutzung in freier Wildbahn bekannt.
• Kein öffentlicher Exploit-Code bestätigt.
• Patchstack erwartet eine Ausnutzung aufgrund eigener Einschätzung.

Unsere Empfehlung

• Inventarisieren Sie WordPress-Seiten mit dem Plugin Newsletters (newsletters-lite) und prüfen Sie die installierte Version.
• Aktualisieren Sie auf Version 4.18.2 oder neuer, zusammen mit der SQL-Injection-Korrektur in derselben Version (CVE-2026-111402).
• Prüfen Sie die Logs auf Seiten, die Version 4.18.1 oder älter eingesetzt haben.
• Beachten Sie, dass frühere Versionen dieses Plugins ebenfalls unauthentifizierte PHP Object Injections behoben haben; stellen Sie sicher, dass die aktuelle Version installiert ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory CVE-2026-94075 patchstack.com
• WordPress.org plugin page and changelog (newsletters-lite) wordpress.org
• OpenCVE CVE-2026-94075 app.opencve.io
• VulDB CVE-2026-94075 vuldb.com
• WPScan newsletters-lite wpscan.com
• ThreatHackerWire CVE-2026-94075 www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:37.