„`html

CVE-2026-10823: Authentifizierungslücke im YMC Filter WordPress Plugin

Zusammenfassung

Das WordPress Plugin „YMC Filter“ in Versionen vor 3.11.3 weist eine kritische Authentifizierungslücke auf. Ein ungeschützter REST API Endpoint ermöglicht es unauthentifizierten Angreifern, auf vertrauliche Inhalte zuzugreifen. Die Schwachstelle kombiniert fehlende Zugriffskontrolle mit unzureichender Validierung von Benutzereingaben, was zur Offenlegung von privaten Beiträgen, Entwürfen und anderen nicht-öffentlichen Inhalten führt.

Betroffene Systeme

Betroffen sind Installationen des YMC Filter WordPress Plugins in allen Versionen vor 3.11.3. Das Plugin wird auf zahlreichen WordPress-Websites eingesetzt und repräsentiert ein systemübergreifendes Risiko für betroffene Installationen.

Technische Details

Die Vulnerabilität liegt in der REST API-Implementierung des Plugins. Der betroffene Endpoint führt keine ordnungsgemäße Authentifizierungsprüfung durch und validiert den Query-Parameter nicht ausreichend. Angreifer können manipulierte API-Anfragen direkt an den Endpoint senden und erhalten damit Zugriff auf Inhaltsmetadaten und vollständigen Content von privaten Posts, Entwürfen sowie anderen geschützten Beitragen. Dies ermöglicht eine Informationsbeschaffung (Information Disclosure) ohne vorherige Authentifizierung.

Empfohlene Massnahmen

• Sofortiges Update: Plugin auf Version 3.11.3 oder höher aktualisieren
• Zugriffskontrolle: REST API Endpoints überprüfen und einschränken
• Audit: Access Logs auf verdächtige API-Anfragen analysieren
• WAF-Regeln: Web Application Firewall konfigurieren zur API-Filterung
• Monitoring: Kontinuierliche Überwachung verdächtiger Aktivitäten

Bewertung

CVSS Score: 7.5 (High)
Angriffsvektor: Netzwerk | Komplexität: Niedrig | Authentifizierung: Nicht erforderlich
Die hohe Bewertung reflektiert das leichte Ausnutzbarkeitspotenzial ohne Authentifizierung und das erhebliche Risiko für Datenschutz und Vertraulichkeit.

„`