Icegram Engage: PHP Object Injection durch Benutzer mit Contributor-Rechten
Zusammenfassung
Icegram Engage bis einschliesslich Version 3.1.31 enthält eine PHP Object Injection Schwachstelle (CWE-502, Deserialisierung nicht vertrauenswürdiger Daten). Ein authentifizierter Benutzer mit Contributor-Rechten oder höher kann präparierte Daten übermitteln, die das Plugin deserialisiert, was die serverseitige Verarbeitung manipulierbar machen kann. Die Auswirkungen hängen davon ab, ob auf der Website eine nutzbare Gadget-Kette vorhanden ist; der CNA stuft die Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch ein.
Betroffen
- Icegram Engage WordPress-Plugin, Versionen bis einschliesslich 3.1.31
- Erforderliche Berechtigung: Contributor (authentifiziert)
Behoben in
- Version 3.1.44 oder neuer, gemäss CNA-Eintrag und Patchstack-Hinweis
- Es sollte die neueste Version auf WordPress.org installiert werden
Umgehung
- Dem Hersteller ist keine Workaround-Massnahme bekannt.
- Bis zur Aktualisierung die Kontoregistrierung einschränken und Konten mit Contributor- oder höheren Rechten überprüfen.
Ausnutzung
- Aktive Ausnutzung in freier Wildbahn: Zum Zeitpunkt der Recherche keine Hinweise gefunden.
- CISA KEV: In den geprüften Quellen nicht aufgeführt; der aktuelle Katalog sollte geprüft werden.
- Öffentlicher Proof of Concept: Keiner bestätigt.
- CISA SSVC: Exploitation none, automatable no, technical impact total.
- EPSS: Unbekannt.
Unsere Empfehlung
- Icegram Engage auf Version 3.1.44 oder neuer aktualisieren, idealerweise auf die neueste Version.
- Auf allen WordPress-Websites prüfen, welche Icegram-Version installiert ist.
- Nicht benötigte Konten mit Contributor- oder höheren Rechten überprüfen und entfernen sowie die Selbstregistrierung einschränken.
- Installierte Plugins und Themes auf Gadget-Ketten prüfen, die die Auswirkung erhöhen.
- Auf ungewöhnliche Administrations- oder Dateiaktivitäten achten und NVD sowie KEV später erneut prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-97284 patchstack.com
- CVE record mirror (threatint) cve.threatint.com
- OpenCVE CVE-2026-97284 app.opencve.io
- Icegram changelog www.icegram.com
- WordPress.org Icegram plugin en-ca.wordpress.org
- Strix CVE-2026-97284 www.strix.ai
- TheHackerWire CVE-2026-97284 www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:57.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.