🟠 CVE-2026-16601: High Schwachstelle

Zusammenfassung

Die WordPress-Erweiterung „CM Map Locations – Visualize and share your locations in a few clicks“ enthält eine kritische Sicherheitslücke, die eine unautorisierte Datei-Upload-Funktionalität ermöglicht. Die Schwachstelle existiert in allen Versionen bis einschließlich 2.1.8 und ermöglicht authentifizierten Angreifern mit Subscriber-Rechten die Remote Code Execution (RCE) durch Hochladen von ausführbaren Dateien.

Betroffene Systeme

Alle WordPress-Installationen mit installiertem Plugin „CM Map Locations“ in der Version 2.1.8 und älter. Das Plugin ist über das offizielle WordPress-Plugin-Verzeichnis erhältlich und wird daher breit eingesetzt.

Technische Details

Die Sicherheitslücke befindet sich in der uploadMedia-Funktion des Plugins. Die Implementierung führt folgende Schwachstellen auf:

• Unvollständige Dateitypvalidierung: Die Extension-Filterung ist unzureichend und basiert nur auf Dateinamenendungen ohne MIME-Type-Überprüfung
• Fehlende Capability-Prüfung: Es erfolgt keine Überprüfung der Upload-Berechtigung vor der Verarbeitung
• Nonce-Exposition: Das erforderliche Sicherheits-Nonce wird durch das JavaScript-Objekt CMLOC_Editor_Images für alle eingeloggten Subscriber offengelegt
• Direkte move_uploaded_file(): Hochgeladene Dateien werden ohne vorherige Sanitierung direkt in den Upload-Verzeichnis verschoben

Ein authentifizierter Angreifer mit Subscriber-Status kann durch Manipulation der Upload-Funktion eine PHP-Datei hochladen, die vom Webserver ausgeführt wird, und damit vollständige Kontrolle über die WordPress-Installation erlangen.

Empfohlene Massnahmen

• Sofortige Deaktivierung und Deinstallation des Plugins bis zur Verfügbarkeit eines Sicherheits-Patches
• Überprüfung des Upload-Verzeichnisses auf verdächtige Dateien
• Audit der Upload-Logs auf unautorisierte Datei-Uploads
• Aktualisierung auf eine gepatchte Version sobald verfügbar
• Einschränkung der Subscriber-Rollen auf notwendige Funktionalität

Bewertung

CVSS 3.1 Score: 8.8 (High)

Die Schwachstelle ermöglicht Remote Code Execution mit geringen Anforderungen (authentifiziert) und erheblichem Schadenpotential. Eine sofortige Maßnahme wird empfohlen.