WP File Download: Fehlende Autorisierung erlaubt Löschen und Ändern von Dateien
Zusammenfassung
Das WordPress-Plugin WP File Download bis und mit Version 6.3.9 prüft bei mehreren Dateiverwaltungsfunktionen die Berechtigung nicht korrekt. Ein angemeldeter Benutzer mit der Rolle Subscriber oder höher kann Dateien dauerhaft löschen, den Papierkorb leeren, Dateien zwischen Kategorien verschieben sowie beliebige Dateien veröffentlichen oder zurückziehen. Der Angriff setzt ein angemeldetes Konto voraus, und laut den CNA-Daten besteht keine Auswirkung auf die Vertraulichkeit.
Betroffen
- WP File Download (JoomUnited) Versionen 0 bis und mit 6.3.9
- Für die Ausnutzung ist ein Konto mit der Rolle Subscriber oder höher erforderlich
Behoben in
- Der Changelog des Herstellers nennt eine Korrektur der fehlenden Autorisierungsprüfungen in einem Eintrag vom 21.10.2026, der über Version 6.3.9 steht
- Die Versionsnummer der Korrektur ist nicht bestätigt; eine Drittquelle nennt 6.3.10 oder höher, was der Hersteller nicht bestätigt hat
- Die genaue Version im Update-Bildschirm des Plugins oder im Herstellen-Changelog prüfen
Umgehung
- Kein vom Hersteller dokumentierter Workaround.
- Unnötige Konten mit niedrigen Berechtigungen einschränken oder entfernen und, wenn möglich, die offene Selbstregistrierung deaktivieren.
Ausnutzung
- CISA KEV: nicht gelistet
- CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung partial
- Zum Zeitpunkt der Recherche keine bekannte Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept gefunden
- EPSS etwa 0.00248 (sehr niedrig)
Unsere Empfehlung
- WP File Download auf die neueste Version von JoomUnited aktualisieren, mindestens auf 6.3.10 oder die im Herstellen-Changelog genannte Version.
- Alle Konten mit der Rolle Subscriber und anderen niedrigen Berechtigungen prüfen, insbesondere selbst registrierte, und nicht benötigte Konten entfernen.
- Sicherstellen, dass aktuelle, wiederherstellbare Backups der Mediathek vorhanden sind.
- Kürzliche Dateilöschungen sowie Veröffentlichungen oder Zurückziehungen im Plugin prüfen.
- Priorität erhöhen bei Seiten mit offener Registrierung oder vielen Konten mit niedrigen Berechtigungen; bei rein internen Seiten mittlere Priorität.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WP File Download Changelog (JoomUnited) www.joomunited.com
- Wordfence Threat Intelligence record www.wordfence.com
- OpenCVE CVE-2026-94538 app.opencve.io
- VulDB CVE-2026-94538 vuldb.com
- Strix CVE-2026-94538 www.strix.ai
- RedPacket Security CVE alert www.redpacketsecurity.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:16.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.