Advanced Post Manager: PHP Object Injection

Zusammenfassung

Advanced Post Manager, ein WordPress-Plugin von StellarWP (Liquid Web), enthält eine Deserialisierungs-Schwachstelle (CWE-502), die PHP Object Injection erlaubt. Gemäss der CNA kann ein Angreifer vom Plugin verarbeitete Daten manipulieren, um schädliche Aktionen auf dem Server auszuführen; der CVSS-Wert beträgt 9.8. Die Quellen widersprechen sich, ob eine Authentifizierung nötig ist; eine Quelle beschreibt einen authentifizierten Angriff mit Contributor-Rechten und CVSS 6.6, daher ist vom ungünstigeren Fall auszugehen.

Betroffen

• Advanced Post Manager WordPress-Plugin, Versionen bis und mit 4.5.5

Behoben in

• Version 4.5.6 wird im CVE-Eintrag und von Patchstack als gepatchte Version genannt.
• Version 4.5.7 ist die neueste Version auf WordPress.org und das empfohlene Ziel. Das Herstellerdokument, das 4.5.7 für diese CVE bestätigt, war nicht erreichbar.

Umgehung

• Kein Workaround des Herstellers bestätigt.
• Plugin deaktivieren und entfernen, falls es nicht benötigt wird.
• Zugriff auf den WordPress-Admin-Bereich einschränken und Admin- und Contributor-Konten überprüfen.

Ausnutzung

• Keine bestätigte Ausnutzung in freier Wildbahn; nicht im CISA KEV aufgeführt.
• Die CISA-SSVC-Bewertung markiert die Schwachstelle als automatisierbar mit vollständiger technischer Auswirkung. Dies ist eine Bewertungseinschätzung und kein Beleg für eine Ausnutzung.
• In der Recherche wurde kein öffentlicher Proof of Concept gefunden; dies kann sich ändern.

Unsere Empfehlung

• Plugin auf allen WordPress-Websites, auf denen es installiert ist, auf Version 4.5.7 (mindestens 4.5.6) aktualisieren.
• Prüfen, ob das Plugin installiert ist und welche Version aktiv ist; ungenutzte Installationen entfernen.
• Admin- und Contributor-Konten überprüfen und auf unerwartete Änderungen achten.
• Aus dem Internet erreichbare Websites mit offener Contributor-Registrierung priorisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory patchstack.com
• CVE record JSON (CVE Program / cvelistV5) raw.githubusercontent.com
• WordPress.org plugin page (changelog) wordpress.org
• WPScan plugin entry wpscan.com
• Patchstack plugin vulnerabilities patchstack.com
• Strix CVE page www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:13.