String Locator WordPress-Plugin: Unauthentifizierte PHP-Objektinjektion über Datenbank-Editor
Zusammenfassung
Das WordPress-Plugin String Locator vor Version 2.6.8 beschränkt bei der Deserialisierung von Datenbankzeilen, die über den Datenbank-Editor gespeichert wurden, die zulässigen Klassen nicht. Ein unauthentifizierter Angreifer kann ein serialisiertes PHP-Objekt ablegen, das instanziiert wird, sobald ein Administrator diese Zeile später öffnet und speichert. Ist über ein anderes installiertes String-Locator-Plugin vor Version 2.6.8 eine geeignete Gadget-Kette vorhanden, kann dies zu beliebigem Löschen von Dateien, zur Offenlegung sensibler Daten oder zur Remote Code Execution führen.
Betroffen
- WordPress-Plugin String Locator, alle Versionen vor 2.6.8 (CNA-Eintrag: Versionen 0 bis unter 2.6.8)
- Version 2.6.7 und frühere Versionen sind betroffen, einschliesslich 2.6.7, die die unabhängige Schwachstelle CVE-2024-10936 behoben hat
Behoben in
- Version 2.6.8 (WordPress.org-Changelog vom 2026-09-24, Eintrag 'Security: hardened serialized data processing'). Der Hersteller nennt die CVE-ID im Changelog nicht.
Umgehung
- Der CVE-Eintrag nennt keine Workaround-Massnahme.
- Plugin deaktivieren oder entfernen, wenn es nicht benötigt wird und nicht sofort aktualisiert werden kann.
- Einschränken, wer den Datenbank-Editor des Plugins verwenden darf.
- Vom Plugin verwaltete Datenbankzeilen auf unerwartete serialisierte Inhalte prüfen.
Ausnutzung
- Ausnutzung in freier Wildbahn: keine Hinweise gefunden. Nicht im CISA-KEV-Katalog.
- CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total.
- Öffentlicher Proof of Concept: unbekannt, nicht bestätigt.
- Benutzerinteraktion erforderlich: Ein Administrator muss die betroffene Zeile öffnen und speichern.
- Die EPSS-Werte unterscheiden sich je nach Quelle, sind aber niedrig.
Unsere Empfehlung
- String Locator auf Version 2.6.8 aktualisieren, und zwar prioritär überall dort, wo das Plugin installiert ist.
- Prüfen, ob das Plugin auf WordPress-Websites installiert ist und ob eine Website noch Version 2.6.7 oder älter verwendet.
- Plugin dort deaktivieren, wo es nicht benötigt wird.
- Administratorkonten einschränken und prüfen, wer den Datenbank-Editor verwendet.
- Vom Plugin verwaltete Datenbankzeilen auf unerwartete serialisierte Daten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability record wpscan.com
- WordPress.org plugin page (changelog) wordpress.org
- GitHub release 2.6.8 github.com
- OpenCVE CVE record app.opencve.io
- VulDB entry vuldb.com
- Wordfence threat intel (related plugin issue) www.wordfence.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:26.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.