Go Live Update Urls WordPress-Plugin: PHP Object Injection
Zusammenfassung
Das WordPress-Plugin Go Live Update Urls bis und mit 7.0.8 enthält eine PHP Object Injection-Schwachstelle (CWE-502). Ein Angreifer mit einem Konto der Rolle Contributor kann präparierte serialisierte Daten übermitteln, die das Plugin unsicher verarbeitet. Ob daraus Dateilöschung, Datenabfluss oder Codeausführung folgt, hängt von anderen Plugins oder Themes auf der Website ab, die eine nutzbare POP-Kette bereitstellen; im Plugin selbst ist keine solche Kette bekannt.
Betroffen
- WordPress-Plugin Go Live Update Urls, alle Versionen bis und mit 7.0.8.
Behoben in
- Auf Version 7.1.0 oder höher aktualisieren (Patchstack, WPScan).
Umgehung
- Keine Workaround-Massnahme des Herstellers dokumentiert.
- Falls das Update verzögert wird, das Plugin deaktivieren und entfernen, wenn es nicht benötigt wird.
- Konten mit der Rolle Contributor und höher prüfen und nicht benötigte Konten entfernen.
Ausnutzung
- Erfordert ein authentifiziertes Konto mit der Rolle Contributor.
- CISA SSVC: keine Ausnutzung, nicht automatisierbar, totale technische Auswirkung.
- Keine Ausnutzung in freier Wildbahn bekannt; laut einem Drittanbieter-Aggregator nicht im CISA KEV gelistet.
- Kein öffentlicher Proof of Concept in unserer Recherche gefunden.
- Patchstack stuft die Schwachstelle als mittlere Priorität ein und erwartet eine Ausnutzung; Qualys hat im Oktober 2026 eine Scanner-Erkennung veröffentlicht.
Unsere Empfehlung
- Websites mit diesem Plugin erfassen und die installierte Version prüfen.
- Auf Version 7.1.0 oder höher aktualisieren.
- Plugin entfernen, wenn es nicht mehr benötigt wird, zum Beispiel nach einer Website-Migration.
- Rollen Contributor und höher auf vertrauenswürdige Benutzer beschränken und Konten regelmässig prüfen.
- Mehrautoren-Websites und Websites mit externen Autoren priorisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack vulnerability entry patchstack.com
- WPScan vulnerability entry wpscan.com
- Strix CVE record www.strix.ai
- Qualys detections October 2026 notifications.qualys.com
- Go Live Update Urls changelog onpointplugins.com
- WordPress.org plugin page wordpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:11.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.