🔴 CVE-2026-12153: Critical Schwachstelle

„`html

Zusammenfassung

Die Sicherheitslücke CVE-2026-12153 betrifft das WP Learn Manager Plugin für WordPress in allen Versionen bis einschließlich 1.1.8. Die Schwachstelle ermöglicht es unauthentizierten Angreifern, beliebige Plugins aus dem WordPress.org Repository zu installieren und zu aktivieren. Mit einem CVSS-Wert von 9.8 wird die Lücke als kritisch eingestuft.

Betroffene Systeme

Folgende Systeme sind gefährdet:

• WordPress-Installationen mit WP Learn Manager Plugin Version 1.1.8 und älter
• Alle Varianten des Plugins unabhängig von der WordPress-Version
• Systeme ohne zusätzliche Web Application Firewall (WAF)

Technische Details

Die Vulnerabilität beruht auf unzureichender Autorisierungsprüfung in den Plugin-Funktionen. Das WP Learn Manager Plugin validiert die Benutzerrechte nicht ordnungsgemäß, bevor es kritische Aktionen ausführt. Dies führt zu einem Authorization Bypass, der es Angreifern ermöglicht, die wp-admin Funktionen zur Plugin-Installation zu missbrauchen.

Konkret können Angreifer HTTP-Requests an die vulnerable Komponente senden und ohne Authentifizierung Plugins installieren. Dies geschieht durch direkten Zugriff auf die verwundbaren API-Endpunkte des Plugins.

Empfohlene Massnahmen

• Sofortige Deaktivierung: Das WP Learn Manager Plugin sollte umgehend deaktiviert werden
• Überprüfung: Logs auf verdächtige Plugin-Installationen prüfen
• System-Audit: Überprüfung auf bereits installierte Malware-Plugins
• Update abwarten: Ein Sicherheits-Patch wird erwartet
• Berechtigungen: WordPress-Benutzerrechte auf das notwendigste einschränken

Bewertung

Die Lücke stellt eine erhebliche Bedrohung dar. Unauthentifizierte Angreifer können vollständige Kontrolle über die WordPress-Installation erlangen, indem sie Malware-Plugins installieren. Ein verfügbarer Patch existiert derzeit nicht. Eine sofortige Deaktivierung des Plugins ist erforderlich, bis ein Update verfügbar ist.

„`