🔴 CVE-2026-16534: Critical Schwachstelle

„`html

Zusammenfassung

Die WordPress-Erweiterung „Import and export users and customers“ in Versionen vor 2.4.2 weist eine kritische Sicherheitslücke auf. Diese ermöglicht Benutzern mit minimalen Berechtigungen (nur Benutzererstellungs-Capability), administratorische Konten zu erstellen und bestehende Admin-Anmeldedaten zu überschreiben. Die Schwachstelle entsteht durch unzureichende Validierung von Benutzerrollen und Zugriffsrechten während CSV-Import-Prozessen.

Betroffene Systeme

Betroffen sind WordPress-Installationen mit dem Plugin „Import and export users and customers“ in den Versionen vor 2.4.2. Das Plugin wird häufig für Massenverwaltung von Benutzerkonten verwendet und kann auf verschiedenen WordPress-Umgebungen installiert sein.

Technische Details

Die Vulnerability basiert auf fehlender Autorisierungsprüfung bei der CSV-Datenverarbeitung. Das Plugin validiert nicht angemessen, welche Benutzer mit eingeschränkten Rechten (z.B. nur user_creation-Capability) Rollen zuweisen dürfen. Ein Angreifer kann über eine manipulierte CSV-Datei:

• Administrator-Konten erstellen
• Passwörter existierender Administratoren ändern
• E-Mail-Adressen von Admin-Accounts modifizieren

Der Angriffsvektor ist netzwerk-basiert und erfordert lediglich minimale WordPress-Berechtigungen.

Empfohlene Massnahmen

• Sofortiges Update auf Version 2.4.2 oder höher durchführen
• Benutzerberechtigungen überprüfen und beschränken
• CSV-Import-Funktionalität für nicht-administrative Nutzer deaktivieren
• Administratorkonten auf verdächtige Änderungen prüfen
• Audit-Logs analysieren auf illegale Importvorgänge
• Zwei-Faktor-Authentifizierung für Admin-Accounts aktivieren

Bewertung

Mit einem CVSS-Score von 9.1 ist dies eine kritische Sicherheitslücke. Das hohe Risiko resultiert aus dem breiten Angriffsvektor und der Möglichkeit, vollständige administrative Kontrolle zu erlangen. Da kein Patch derzeit verfügbar ist, sind sofortige Schutzmaßnahmen erforderlich.

„`