🔴 CVE-2026-15039: Critical Schwachstelle

„`html

Zusammenfassung

Die Sicherheitslücke CVE-2026-15039 betrifft das WordPress-Plugin „giftware“ in Versionen vor 4.2.10. Das Plugin validiert Dateitypen in einem Upload-Pfad nicht ausreichend, was unauthentifizierten Angreifern ermöglicht, beliebige Dateien hochzuladen und Remote Code Execution (RCE) auszuführen.

Betroffene Systeme

Das giftware WordPress-Plugin ist in folgenden Versionen anfällig:

• Alle Versionen vor 4.2.10
• WordPress-Installationen mit aktiviertem giftware-Plugin
• Systeme mit entsprechenden Upload-Verzeichnisberechtigungen

Technische Details

Die Schwachstelle resultiert aus einer fehlenden Dateivalidierung in einem spezifischen Upload-Handler des Plugins. Der betroffene Code-Pfad führt keine Überprüfung der Dateiendung oder des MIME-Types durch. Ein Angreifer kann PHP-Dateien oder andere ausführbare Skripte direkt auf den Server hochladen.

Nach erfolgreichem Upload kann die hochgeladene PHP-Datei direkt über HTTP aufgerufen werden, was zur Ausführung beliebigen PHP-Codes und vollständiger Serverkompromittierung führt. Der CVSS-Score von 9.8 unterstreicht die kritische Natur dieser Schwachstelle.

Angriffsvektor: Das Plugin erlaubt unauthentifizierte Uploads, weshalb keine Benutzeranmeldung erforderlich ist.

Empfohlene Massnahmen

• Sofortige Deaktivierung des giftware-Plugins, bis ein Patch verfügbar ist
• Update auf Version 4.2.10 oder höher, wenn verfügbar
• Überprüfung der Upload-Verzeichnisse auf verdächtige PHP-Dateien
• Web Application Firewall (WAF) zur Filterung von PHP-Upload-Versuchen einsetzen
• Dateisystem-Berechtigungen für Upload-Verzeichnisse auf Read/Execute beschränken
• Regelmäßige Sicherheits-Audits durchführen

Bewertung

Schweregrad: Critical (CVSS 9.8)

Diese Schwachstelle erfordert sofortige Aufmerksamkeit. Die Kombination aus fehlender Authentifizierung und Remote Code Execution stellt eine maximale Gefahr dar. Ein Patch ist derzeit nicht verfügbar – interim-Maßnahmen sind erforderlich.

„`