Schema & Structured Data for WP & AMP: PHP-Objekt-Injection
Zusammenfassung
Das WordPress-Plugin Schema & Structured Data for WP & AMP bis einschliesslich Version 1.66 enthält eine PHP-Objekt-Injection-Schwachstelle (CWE-502). Ein authentifizierter Benutzer mit Contributor-Rechten kann manipulierte Daten einschleusen, die das Plugin deserialisiert, was je nach weiteren installierten Plugins und Themes zur Ausführung von Code, zu Datenzugriff oder zu einem Denial of Service auf dem Server führen kann. Es ist keine Benutzerinteraktion nötig, aber ein gültiges Contributor-Konto.
Betroffen
- Plugin Schema & Structured Data for WP & AMP, alle Versionen bis einschliesslich 1.66
- Erforderliche Berechtigung: Contributor
- Besonders gefährdet sind Installationen mit Selbstregistrierung, die Contributor-Rechte gewährt, oder mit externen Autoren
Behoben in
- Version 1.67 (gemäss CVE-Eintrag und Patchstack; die Versionshinweise des Herstellers zu 1.67 listen eine Korrektur desselben Meldenden, die Verknüpfung mit dieser CVE ist abgeleitet)
- Aktuelle Version zum Zeitpunkt der Recherche: 1.69
Umgehung
- Keine bekannte Workaround-Massnahme des Herstellers.
- Bis zur Aktualisierung Contributor-Konten prüfen und nicht benötigte oder unbekannte Konten entfernen (abgeleitet aus dem CVSS-Vektor, keine Empfehlung des Herstellers).
- Falls das Plugin nicht benötigt wird, deaktivieren und entfernen.
Ausnutzung
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, technische Auswirkung total.
- Patchstack erwartet eine Ausnutzung und weist darauf hin, dass ähnliche Schwachstellen in Massenangriffs-Kampagnen eingesetzt werden.
- Zum Zeitpunkt der Recherche kein öffentlicher Proof of Concept bestätigt; nicht im KEV-Katalog der CISA gelistet (nicht am Katalog selbst überprüft).
Unsere Empfehlung
- Plugin auf Version 1.67 oder neuer aktualisieren, idealerweise auf die aktuelle Version, im nächsten Update-Zyklus oder früher.
- Alle Konten mit Contributor- oder höheren Rechten prüfen und nicht benötigte entfernen.
- Selbstregistrierung einschränken und externe Autorenkonten überprüfen.
- Logs auf ungewöhnliche Inhalte und unerwartetes Plugin-Verhalten überwachen.
- Falls für Ihre Website ein Patchstack-Virtual-Patch verfügbar ist, diesen bis zur Aktualisierung aktivieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- Strix CVE-2026-97291 www.strix.ai
- TheHackerWire CVE-2026-97291 www.thehackerwire.com
- Vendor release notes 1.67 structured-data-for-wp.com
- Vendor release notes 1.69 structured-data-for-wp.com
- GitHub issue #2474 github.com
- GitHub repository github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 23:04.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.