Nelio Content WordPress-Plugin: Fehlende Autorisierung erlaubt Löschen wiederverwendbarer Nachrichten

Zusammenfassung

Das Plugin Nelio Content für WordPress prüft nicht, ob ein Benutzer berechtigt ist, wiederverwendbare Social-Media-Nachrichten (nc_reusable_social-Beiträge) zu löschen. Ein authentifizierter Angreifer mit Contributor-Rechten oder höheren Rechten kann Nachrichten von Administratoren oder anderen privilegierten Benutzern dauerhaft löschen. Betroffen sind Integrität und Verfügbarkeit (Löschen von Inhalten); gemäss Vektor besteht kein Vertraulichkeitsschaden.

Betroffen

• Plugin Nelio Content für WordPress, Versionen bis und mit 4.5.0
• Standardkonfiguration: laut CNA-Eintrag nicht betroffen (Herstellerdaten in NVD ausstehend)

Behoben in

• Version 4.5.1 (Changelog vom 2. Oktober 2026: "Fix authorization checks when editing or deleting reusable social messages")

Umgehung

• Kein vom Hersteller veröffentlichter Workaround.
• Konten mit Contributor- oder höheren Rollen prüfen und nicht benötigte entfernen.
• Inhalte wiederverwendbarer Social-Media-Nachrichten sichern, damit Löschungen wiederhergestellt werden können.

Ausnutzung

• Öffentlicher Proof of Concept: in den geprüften Quellen nicht bestätigt.
• Laut einer Sekundärquelle nicht im CISA-Katalog Known Exploited Vulnerabilities aufgeführt; nicht unabhängig überprüft.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
• CVSS 8.1 (AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H).

Unsere Empfehlung

• Plugin Nelio Content umgehend auf Version 4.5.1 oder neuer aktualisieren.
• Prüfen, welche Konten Contributor- oder höhere Rollen besitzen, und nicht benötigte entfernen.
• Inhalte wiederverwendbarer Social-Media-Nachrichten regelmässig sichern.
• Auf unerwartete Löschungen von Social-Media-Inhalten achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence record www.wordfence.com
• Plugin changeset 3724505 (tag 4.5.1) plugins.trac.wordpress.org
• Vulnerable REST controller, tag 4.5.0 (L169) plugins.trac.wordpress.org
• Vulnerable REST controller, tag 4.5.0 (L68) plugins.trac.wordpress.org
• Helper functions, tag 4.5.0 (L80) plugins.trac.wordpress.org
• WordPress.org plugin page (changelog) wordpress.org
• Strix CVE record www.strix.ai
• Positive Technologies advisory PT-2026-104548 (via Vulners) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:56.