PressTigers Simple Event Planner: PHP Object Injection durch unsichere Deserialisierung
Zusammenfassung
Das WordPress-Plugin Simple Event Planner von PressTigers bis Version 1.5.7 deserialisiert unsichere Daten, was PHP Object Injection ermöglicht. Ein Angreifer mit niedrigen Berechtigungen auf der WordPress-Seite, etwa ein Konto mit gewissem Zugriff, kann diese Schwachstelle ausnutzen, um die Verarbeitung von Daten zu manipulieren. Bei erfolgreicher Ausnutzung können Vertraulichkeit, Integrität und Verfügbarkeit betroffen sein; ob Codeausführung möglich ist, hängt von Gadget-Ketten im übrigen Code der Seite ab, was nicht bestätigt ist.
Betroffen
- Simple Event Planner WordPress-Plugin, alle Versionen bis 1.5.7
- CVSS 3.1: 8.8 (AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H)
- CWE-502: Deserialisierung nicht vertrauenswürdiger Daten
Behoben in
- Aktualisierung auf Version 1.5.8 oder neuer (gemäss Patchstack und der Lösungsangabe des CNA; das Changelog von 1.5.8 nennt eine Korrektur einer PHP Object Injection im Template, nicht am Code geprüft)
Umgehung
- Keine vom Hersteller dokumentierte Workaround bekannt.
- Falls die Aktualisierung nicht sofort möglich ist, das Plugin bis zur Aktualisierung deaktivieren.
Ausnutzung
- Zum Zeitpunkt der Recherche keine bekannte Ausnutzung in freier Wildbahn.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Patchstack stuft die Schwachstelle als mittlere Priorität ein und erwartet eine Ausnutzung.
Unsere Empfehlung
- Im WordPress-Dashboard prüfen, ob das Plugin installiert ist und welche Version aktiv ist.
- Sofort auf Version 1.5.8 oder neuer aktualisieren oder das Plugin entfernen, falls es nicht benötigt wird.
- Internetseitig erreichbare Seiten und Seiten mit mehreren Benutzerkonten priorisieren.
- Benutzerkonten überprüfen und Logs auf ungewöhnliche Anfragen an das Plugin überwachen.
- Die Aktualisierung beim Hersteller oder bei Patchstack verifizieren, da kein Advisory von PressTigers gefunden wurde.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack vulnerability entry CVE-2026-97257 patchstack.com
- VulDB CVE-2026-97257 vuldb.com
- Offseq Radar CVE-2026-97257 radar.offseq.com
- Strix CVE-2026-97257 www.strix.ai
- WordPress.org Simple Event Planner plugin wordpress.org
- PressTigers Simple Event Planner on GitHub github.com
- Qualys October 2026 application security detections notifications.qualys.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:30.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.