🔴 CVE-2026-18366: Critical Schwachstelle

„`html

Zusammenfassung

Die Sicherheitslücke CVE-2026-18366 betrifft das WordPress-Plugin „Events Manager“ in Versionen vor 7.4.1. Eine kritische Schwachstelle in der Capability-Mapping-Implementierung ermöglicht es unauthentizierten Angreifern, administrative Funktionen auszuführen. Durch gezielten Missbrauch der fehlerhaften Zugriffskontrolle können Passwörter geändert, Administrator-Konten erstellt oder Benutzerkonten gelöscht werden.

Betroffene Systeme

Plugin: Events Manager WordPress Plugin
Betroffene Versionen: Vor Version 7.4.1
Angriffsvektor: Netzwerk (unauthentifiziert)
Plattform: WordPress-Installationen mit aktiviertem Events Manager Plugin

Technische Details

Die Schwachstelle basiert auf einem Fehler in der Capability-Mapping-Implementierung des Plugins. Das System ignoriert WordPress-seitige Zugriffskontrollentscheidungen und validiert nicht korrekt die Berechtigungen für privilegierte Aktionen. Ein kritischer Aspekt ist die Abhängigkeit von Post-IDs: Unauthentifizierte Benutzer können Administratorfunktionen ausführen, wenn die Benutzer-ID mit einer Events Manager Post-ID übereinstimmt.

Dies ermöglicht direkte Angriffe auf Funktionen wie Passwortänderung, Benutzerpromotion zu Administrator und Benutzerkonten-Löschung, ohne dass eine vorherige Authentifizierung erforderlich ist.

Empfohlene Massnahmen

• Sofortige Aktualisierung: Events Manager Plugin auf Version 7.4.1 oder höher aktualisieren
• Zugriffskontrolle überprüfen: Alle Benutzerkonten auf verdächtige Änderungen prüfen
• Audit-Logs analysieren: Logs auf unauthentifizierte administratorische Aktionen durchsuchen
• Plugin deaktivieren: Falls Update nicht möglich, Plugin vorübergehend deaktivieren
• Sicherungsplan: Aktuelle Backups erstellen

Bewertung

CVSS-Score: 9.8 (Critical)
Risiko: Extrem hoch – Vollständiger Kontrollverlust über WordPress-Installation möglich
Patch-Status: Verfügbar (Version 7.4.1+)
Handlungsbedarf: Dringend

„`