🔴 CVE-2026-14900: Critical Schwachstelle

„`html

Zusammenfassung

Das WordPress-Plugin „Cost Calculator Builder PRO“ weist in allen Versionen bis einschließlich 4.0.3 eine kritische Remote Code Execution (RCE) Schwachstelle auf. Die Vulnerability ermöglicht es unauthentifizierten Angreifern, beliebigen PHP-Code auf dem Webserver auszuführen. Der Exploit nutzt mangelhafte Eingabevalidierung in der js_to_php()-Funktion und eine öffentlich zugängliche Nonce.

Betroffene Systeme

Kritisch betroffen sind WordPress-Installationen mit dem Cost Calculator Builder PRO Plugin in den Versionen:

• 4.0.3 und älter
• Alle Vorgängerversionen

Das Plugin wird auf WordPress-Websites zur Erstellung von Kostenkalkulatoren verwendet und ist daher in E-Commerce- und Service-Umgebungen verbreitet.

Technische Details

Die Vulnerability basiert auf mehreren Sicherheitsmängeln:

• Unzureichende Sanitization: Das Feld orderDetails[*].originalValue wird nicht korrekt bereinigt und direkt in Kalkulatorformeln eingefügt
• Unsichere PHP-Funktion: Die evaluateFormula()-Funktion nutzt eval() zur Verarbeitung von Benutzereingaben
• Schwache Filterung: Der Regex-Filter erlaubt alphanumerische Zeichen, filtert aber nicht-Wort-Zeichen nicht aus
• Nonce-Disclosure: Die erforderliche WordPress-Nonce wird öffentlich via wp_head-Hook auf jeder Frontend-Seite ausgegeben
• Payload-Bypass: Angreifer können XOR-Gadgets mit Nicht-Wort-Zeichen einsetzen, um die Filterung zu umgehen

Empfohlene Massnahmen

• Sofortig: Deaktivieren und entfernen Sie das Plugin aus allen Produktivumgebungen
• Validierung: Prüfen Sie Server-Logs auf verdächtige Anfragen an den js_to_php-Endpunkt
• Workaround: Begrenzen Sie Zugriff via Web Application Firewall (WAF) auf verdächtige POST-Parameter
• Alternative: Verwenden Sie Alternative Kalkulatoren oder warten Sie auf ein Sicherheits-Patch

Bewertung

CVSS 9.8 (Critical): Netzwerkbasierter Angriff, Netzwerkzugang, keine Authentifizierung erforderlich, vollständige Systemkompromittierung möglich. Diese Vulnerability ermöglicht vollständige Server-Übernahme und sollte als Notfall behandelt werden.

„`