„`html

CVE-2026-12082: Authentifizierungslücke im Praison AI SEO WordPress Plugin

Zusammenfassung

Das Praison AI SEO WordPress Plugin in Versionen vor 5.0.7 weist kritische Sicherheitsmängel in seinen REST API-Endpoints auf. Die fehlende Authentifizierungsprüfung ermöglicht es unauthentifizierten Angreifern, sensible Operationen durchzuführen und vertrauliche Konfigurationsdaten auszulesen. Mit einer CVSS-Bewertung von 7.5 wird diese Schwachstelle als „High“ eingestuft.

Betroffene Systeme

• Praison AI SEO WordPress Plugin < 5.0.7
• Betriebssystem: Plattformübergreifend (alle Systeme mit WordPress-Installation)
• Angriffsvektor: Netzwerk (Remote)
• Keine Authentifizierung erforderlich

Technische Details

Die Schwachstelle liegt in mehreren REST API-Routen des Plugins. Die fehlende Authorization-Prüfung (capability check) in den API-Endpoints erlaubt:

• Permalink-Manipulation: Unauthentifizierte Benutzer können Permalinks bereits veröffentlichter Posts ändern, was zu SEO-Degradation und Umleitungsangriffen führt
• Informationspreisgabe: Lesezugriff auf Plugin-Konfigurationsdaten, einschließlich API-Schlüssel und Einstellungen

Der Angriffsvektor erfordert nur eine direkte HTTP-Anfrage an die REST API-Endpoints. Keine speziellen Voraussetzungen oder Authentifizierungstoken sind notwendig.

Empfohlene Massnahmen

1. Sofortiges Update: Plugin auf Version 5.0.7 oder höher aktualisieren
2. Interim-Schutz: Disable REST API für nicht-authentifizierte Benutzer via .htaccess oder Plugin
3. Audit durchführen: Prüfung der Post-Permalinks auf unbefugte Änderungen
4. API-Schlüssel erneuern: Alle Praison AI SEO API-Credentials zurücksetzen
5. WAF-Regeln: Requests an /wp-json/praison-seo/* Routen blockieren bis Update erfolgt

Bewertung

„`