WordPress-Plugin SMS Alert Order Notifications: Privilegienerweiterung
Zusammenfassung
Das WordPress-Plugin SMS Alert Order Notifications von Cozy Vision Technologies enthält in den Versionen bis und mit 4.0.0 eine fehlerhafte Zuweisung von Privilegien. Laut Patchstack kann ein Angreifer ohne Authentifizierung seine Rechte erweitern und Administrator mit vollständiger Kontrolle über die Website werden. Die CNA bewertet die Schwachstelle mit CVSS 3.1 8.1 (Hoch), bei hoher Angriffskomplexität.
Betroffen
- WordPress-Plugin SMS Alert Order Notifications (Slug sms-alert) von Cozy Vision Technologies, Versionen bis und mit 4.0.0
Behoben in
- Version 4.0.1 oder neuer, gemäss CNA-Eintrag und Patchstack-Seite.
- Eine spätere CVE (CVE-2026-116386) meldet betroffene Versionen bis 4.0.2, behoben in 4.0.3. Die neueste verfügbare Version installieren.
Umgehung
- Patchstack hat eine Schutzregel veröffentlicht, die Angriffe blockiert, bis das Plugin aktualisiert ist. Laut Patchstack werden dabei alle legitimen und unberechtigten Anfragen an die betroffene Funktion blockiert.
- Falls kein Update möglich ist, das Plugin bis zur Behebung deaktivieren.
Ausnutzung
- Keine bekannte Ausnutzung in den Quellen. Die CISA-SSVC-Bewertung lautet Exploitation: none und Automatable: no.
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung.
- Öffentlicher Proof of Concept: unbekannt.
Unsere Empfehlung
- Das Plugin auf Version 4.0.1 oder neuer aktualisieren, idealerweise auf die neueste Version.
- Alle WordPress-Websites und WooCommerce-Shops mit diesem Plugin prüfen und die installierte Version bestätigen.
- Administrator- und Subscriber-Konten auf unerwartete Rollenänderungen prüfen.
- Logs auf ungewöhnliche Administratoraktivitäten prüfen und verdächtige Befunde als mögliche Kompromittierung behandeln.
- Falls eine Website nicht aktualisiert werden kann, das Plugin deaktivieren oder die Patchstack-Schutzregel nutzen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-95594 patchstack.com
- Strix: CVE-2026-95594 www.strix.ai
- OffSeq Radar: CVE-2026-95594 radar.offseq.com
- WPScan: SMS Alert plugin wpscan.com
- Strix: CVE-2026-116386 (later related CVE) www.strix.ai
- OffSeq Radar: CVE-2026-116386 (later related CVE) radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:51.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.