„`html

CVE-2026-10749: Post Duplicator WordPress Plugin – PHP Object Injection

Zusammenfassung

Das WordPress-Plugin Post Duplicator in Versionen vor 3.0.15 weist eine kritische Sicherheitslücke auf. Die Anwendung behandelt Custom Meta-Daten während der Post-Duplikation unsicher und speichert Angreifer-kontrollierte serialisierte Werte ohne die Schutzmaßnahmen der WordPress Meta-API. Dies ermöglicht PHP Object Injection-Angriffe.

Betroffene Systeme

• Post Duplicator WordPress Plugin < 3.0.15
• WordPress-Installationen mit aktiviertem Post Duplicator Plugin
• Systeme mit Benutzern auf Contributor-Level oder höher

Technische Details

Die Schwachstelle liegt in der unsicheren Verarbeitung von Meta-Metadaten. Das Plugin umgeht die WordPress-Serialisierungs-API, welche Double-Serialization als Schutzmaßnahme implementiert. Durch direktes Speichern von attacker-supplied serialisierten Objekten können Benutzern mit Contributor-Zugriff beliebige PHP-Objekte injizieren.

Angriffsvektor: Network | Schweregrad: High (CVSS 7.2)

Ein authentifizierter Angreifer kann durch manipulierte Post-Duplikationen schädliche PHP-Objekte einschleusen, die bei der Deserialisierung zur Codeausführung führen können.

Empfohlene Maßnahmen

• Post Duplicator Plugin sofort deaktivieren, falls nicht essentiell
• Update auf Version 3.0.15 oder neuer durchführen (sobald verfügbar)
• Contributor-Rollen überprüfen und nach Bedarf beschränken
• Server-Logs auf verdächtige Post-Duplikationen analysieren
• Web Application Firewall (WAF) aktivieren

Bewertung

CVSS Score: 7.2 (High) | Status: Kein Patch verfügbar

Die Lücke erfordert sofortige Aufmerksamkeit, da sie nur authentifizierte Zugriffe benötigt. Eine temporäre Mitigation besteht in der Einschränkung von Contributor-Berechtigungen bis zur Verfügbarkeit eines Patches.

„`