Estatik WordPress-Plugin: Privilegienerweiterung für Subscriber-Konten
Zusammenfassung
Das WordPress-Immobilienplugin Estatik bis einschliesslich Version 4.3.5 enthält eine Privilegienerweiterung (CWE-266, falsche Zuweisung von Berechtigungen). Gemäss CVE-Eintrag kann ein authentifizierter Benutzer mit Subscriber-Konto höhere Rechte erlangen, potenziell bis zur vollständigen Administrationskontrolle der Website. Der CVSS-Vektor bewertet die Lücke als netzwerkbasiert ausnutzbar ohne Rechte, die Beschreibung setzt jedoch ein Subscriber-Konto voraus, weshalb das tatsächliche Risiko davon abhängt, ob sich auf der Website jede Person registrieren kann. Die NVD-Analyse ist noch ausstehend.
Betroffen
- Estatik-Plugin für WordPress, Versionen bis einschliesslich 4.3.5
- Erforderliche Berechtigung gemäss Beschreibung: Subscriber
Behoben in
- Patchstack und der CVE-Eintrag empfehlen ein Update auf Version 4.3.6 oder neuer.
- Nicht bestätigt: Kein Changelog und keine Herstellerwarnung gefunden, die diese CVE nennt.
Umgehung
- In den Quellen keine gefunden.
- Übergangsmassnahmen gemäss allgemeiner Praxis: offene Benutzerregistrierung deaktivieren, sofern nicht benötigt, bestehende Subscriber-Konten prüfen und Benutzerrollen auf unerwartete Änderungen kontrollieren.
Ausnutzung
- Nicht als aktiv ausgenutzt gelistet (Aggregator zeigt KEV: No; CISA-KEV-Katalog nicht direkt geprüft).
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Patchstack erwartet Ausnutzung; Mitigationsregeln sind verfügbar. Kein öffentlicher Proof of Concept gefunden, was nicht belegt, dass keiner existiert.
Unsere Empfehlung
- Alle WordPress-Websites mit Estatik 4.3.5 oder älter identifizieren.
- Auf Version 4.3.6 oder neuer aktualisieren und anschliessend anhand der Patchstack-Warnung prüfen, ob der Fix enthalten ist.
- Offene Registrierung deaktivieren, sofern nicht benötigt, und Subscriber-Konten sowie Rollenänderungen prüfen.
- NVD- und Patchstack-Updates beobachten, da der NVD-Eintrag noch ausstehend ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- Strix CVE-2026-96350 www.strix.ai
- CVE record mirror (threatint) cve.threatint.com
- CVE Brief cvebrief.com
- WordPress.org Estatik plugin page wordpress.org
- WP Rankings Estatik wp-rankings.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:53.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.