DesignSetGo WordPress-Plugin: PHP Object Injection
Zusammenfassung
Das WordPress-Plugin DesignSetGo bis und mit Version 2.8.0 enthält eine PHP Object Injection Schwachstelle (CWE-502). Ein Angreifer mit einem Konto der Rolle Contributor kann manipulierte serialisierte Daten übermitteln, die das Plugin unsicher verarbeitet. Eine erfolgreiche Ausnutzung kann die serverseitige Verarbeitung manipulieren und schädliche Aktionen auf dem Server ermöglichen, mit hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept und keine bestätigte Ausnutzung in freier Wildbahn gefunden.
Betroffen
- DesignSetGo WordPress-Plugin bis und mit Version 2.8.0
Behoben in
- Patchstack nennt Version 2.8.1 als gepatchte Version. Dies ist noch nicht gegen das Änderungsprotokoll des Herstellers bestätigt.
Umgehung
- Dem Hersteller ist kein Workaround bekannt.
- Konten der Rolle Contributor prüfen und auf das Notwendige beschränken.
- Einen virtuellen Patch über eine WAF oder einen Sicherheitsanbieter einsetzen, falls das Plugin nicht rasch aktualisiert werden kann.
Ausnutzung
- CISA SSVC bewertet die Ausnutzung mit none und die Automatisierbarkeit mit no.
- Patchstack erwartet eine Ausnutzung und meldet Massenausnutzung ähnlicher Schwachstellen.
- Kein öffentlicher Proof of Concept gefunden.
- Während der Recherche nicht im CISA-KEV-Katalog gefunden.
Unsere Empfehlung
- DesignSetGo auf Version 2.8.1 oder neuer aktualisieren, nachdem die Freigabe im Änderungsprotokoll auf WordPress.org bestätigt wurde.
- Konten der Rolle Contributor und andere Konten mit wenig Rechten prüfen und nicht benötigte entfernen.
- Alle Websites mit DesignSetGo erfassen und auf ungewöhnliche Aktivitäten überwachen.
- Falls kein sofortiges Update möglich ist, einen virtuellen Patch einsetzen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- Strix CVE record www.strix.ai
- WordPress.org plugin page wordpress.org
- GitHub pull request 638 github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:12.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.