🟠 CVE-2026-10033: High Schwachstelle

Zusammenfassung

Das WordPress-Plugin EventON Action User in allen Versionen bis einschließlich 2.5.14 weist eine kritische Autorisierungslücke auf. Diese Sicherheitslücke (CVE-2026-10033) ermöglicht es unauthentifizierten Angreifern, Privilegien von Benutzern zu eskalieren und sensitive Informationen über das System zu extrahieren.

Betroffene Systeme

• WordPress-Installationen mit EventON Action User Plugin Version ≤ 2.5.14
• Systeme ohne aktivierte Autorisierungsprüfungen auf Plugin-Ebene
• Alle WordPress-Rollen außer Administrator (primäres Ziel)

Technische Details

Verwundbarkeit: Die Funktion update_role_caps() führt keine ausreichende Authentifizierungsprüfung durch. Ein Early-Return-Guard schützt nur die Administrator-Rolle, wodurch alle anderen Rollen und Benutzer gefährdet sind.

Angriffsvektor: Network-basiert ohne erforderliche Authentifizierung. Der Exploit ermöglicht:

• Erteilung von EventON-Verwaltungsrechten an nicht-administrative Benutzer
• Vergabe der upload_files-Capability für Datei-Uploads
• Aufzählung aller WordPress-Benutzer mit IDs und Display-Namen
• Auslesung von Rollen-, Capability- und Nonce-Informationen
• Manipulation von Event-zu-Benutzer-Zuweisungen

Empfohlene Massnahmen

• Sofort: Plugin deaktivieren und deinstallieren bis Patch verfügbar ist
• WordPress-Benutzerrechte überprüfen auf unautorisierte Änderungen
• Hochgeladene Dateien seit Plugin-Installation überprüfen
• Web-Access-Logs auf verdächtige Anfragen analysieren
• Nonce-Werte zurücksetzen und Session-Cookies erneuern
• Regelmäßige WordPress-Sicherheits-Updates durchführen

Bewertung

CVSS Score: 7.3 (High)

Die Kombination aus fehlender Authentifizierung, Benutzeraufzählung und Privilege-Escalation macht diese Lücke zu einer erheblichen Bedrohung. Ohne verfügbaren Patch ist ein zeitnaher Einsatz von Mitigations-Strategien erforderlich.