🔴 CVE-2026-16940: Critical Schwachstelle

Zusammenfassung

Das WordPress-Plugin „Custom Fields“ in Versionen vor 1.5.1 weist eine kritische Schwachstelle auf, die es unauthentifizierten Angreifern ermöglicht, beliebige Dateien auf dem Server zu löschen. Diese Vulnerability kann zur vollständigen Übernahme der WordPress-Installation führen und wird mit dem CVSS-Score von 10.0 als kritisch bewertet.

Betroffene Systeme

Betroffen sind alle Installationen des Custom Fields WordPress-Plugins in den Versionen vor 1.5.1. Das Plugin wird auf einer Vielzahl von WordPress-Websites eingesetzt und stellt daher eine breite Angriffsfläche dar. Der Schwachstelle liegt ein Netzwerk-basierter Angriffsvektor zugrunde, weshalb eine physische Nähe zum System nicht erforderlich ist.

Technische Details

Die Vulnerabilität resultiert aus einer fehlenden Validierung von Dateipfaden in der Lösch-Funktionalität des Plugins. Der betroffene Code führt Dateisystem-Operationen basierend auf benutzerkontrolliertem Input durch, ohne diesen angemessen zu sanitarisieren oder zu validieren. Ein Angreifer kann dadurch durch manipulierte HTTP-Requests kritische Dateien wie wp-config.php (enthält Datenbank-Zugangsdaten) oder andere systemrelevante Dateien löschen.

Da keine Authentifizierung erforderlich ist, können auch nicht registrierte Besucher diese Schwachstelle ausnutzen. Die vollständige Site-Übernahme ist möglich, wenn die wp-config.php gelöscht wird, da WordPress dann nicht mehr funktionsfähig ist.

Empfohlene Massnahmen

• Sofortiges Update: Plugin auf Version 1.5.1 oder höher aktualisieren
• Interim-Lösung: Plugin deaktivieren und entfernen, bis ein Patch verfügbar ist
• Backup-Strategie: Regelmäßige Backups durchführen und testen
• Web Application Firewall: WAF-Regeln implementieren, um verdächtige Anfragen zu blockieren
• Monitoring: Zugriffslogs auf ungewöhnliche Aktivitäten überprüfen

Bewertung

Mit einem CVSS-Score von 10.0 handelt es sich um eine der kritischsten Schwachstellen. Die Kombination aus fehlender Authentifizierung, Netzwerk-Zugänglichkeit und der Möglichkeit der vollständigen Systemkompromittierung erfordert sofortige Handlung. Aktuell liegt kein offizieller Patch vor, weshalb Administratoren zur Deaktivierung des Plugins geraten wird, bis die Entwickler eine sichere Version bereitstellen.