CVE-2026-115252: PHP-Codeausführung im Plugin Confection WordPress Cable
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.WPScan dokumentiert mit CVE-2026-115252 eine kritische Schwachstelle im WordPress-Plugin Confection WordPress Cable. Betroffen sind die Versionen 0.4.0 bis 0.4.7. Die Schwachstelle ermöglicht nicht authentifizierten Angreifenden die Ausführung beliebigen PHP-Codes auf dem Server. WPScan stuft CVE-2026-115252 als aktiv ausgenutzt ein.
Die Schwachstelle ist mit CVSS 10.0 bewertet. Der veröffentlichte CVSS-Vektor weist einen Netzwerkangriff mit niedriger Angriffskomplexität aus, ohne erforderliche Berechtigungen und ohne Interaktion durch Nutzende.
Betroffen ist Confection WordPress Cable in folgenden Versionen:
0.4.0
0.4.1
0.4.2
0.4.3
0.4.4
0.4.5
0.4.6
0.4.7
Das Plugin wird über das WordPress.org Plugin Repository verteilt. Für den Angriff ist weder eine Anmeldung noch eine Interaktion durch Nutzende erforderlich.
Technische Ursache der Schwachstelle
Laut WPScan prüft das Plugin vor dem Speichern seiner Einstellungen weder Berechtigungen noch einen Nonce-Wert. Eine Einstellung wird unverändert in eine eigenständige PHP-Datei geschrieben, die anschließend durch den Server bereitgestellt wird.
Diese Verarbeitung ermöglicht nicht authentifizierten Angreifenden, PHP-Code auf einem betroffenen Webserver auszuführen. Die Schwachstelle ist den Kategorien CWE-94 und CWE-862 zugeordnet.
Maßnahmen zur Risikobegrenzung
Für die betroffenen Versionen ist keine bereinigte Version verfügbar. Da WPScan die Schwachstelle als aktiv ausgenutzt einordnet, sollten Organisationen sofort handeln und betroffene Systeme priorisieren.
Geeignete Maßnahmen sind:
Das Plugin deaktivieren oder entfernen.
Den Zugriff auf Plugin-Settings-Endpunkte serverseitig sperren, etwa über eine Web Application Firewall oder .htaccess.
Betroffene Systeme priorisieren und mitigieren.
Das WordPress-Plugin-Verzeichnis auf eine neue Version prüfen, sobald der Hersteller einen Fix veröffentlicht.
Schwachstellen- und Vendor-Risk-Monitoring für eingesetzte Plugins fortlaufend betreiben.
WordPress-Betreiber in Deutschland und Österreich, die unter NIS-2 bzw. dem österreichischen NISG fallen, sollten die Betroffenheit ihrer WordPress-Infrastruktur umgehend prüfen. Führt eine erfolgreiche Ausnutzung zu einem Zugriff auf personenbezogene Daten, kann eine Meldepflicht nach DSGVO Art. 33 mit einer 72-Stunden-Frist gegenüber der zuständigen Aufsichtsbehörde ausgelöst werden. Für Schweizer Organisationen gilt das revidierte Informationssicherheitsgesetz (ISG) mit Meldepflicht ans BACS.
WordPress-Instanzen mit dem Plugin können unter einer Unternehmensdomain erreichbar sein. Das Plugin ist auf extern erreichbaren Systemen anhand öffentlicher Pfade oder Antwortmustern erfassbar.
External Attack Surface Management unterstützt dabei, externe Assets und Webanwendungen sichtbar zu machen und die Prüfung betroffener Systeme zu priorisieren. LocateRisk macht externe Assets und eingesetzte Software sichtbar. Die konkrete verwundbare Plugin-Version wird dadurch nicht zwingend bestimmt. Für CVE-2026-115252 bleibt daher eine technische Validierung auf den identifizierten WordPress-Systemen erforderlich, einschließlich Plugin-Status und Konfiguration.
Bin ich betroffen?
Betroffen ist Confection WordPress Cable in den oben genannten Versionen. Wer wissen will, ob Confection WordPress Cable in der eigenen extern erreichbaren Infrastruktur überhaupt sichtbar ist, kann den CVE-Quick-Check am Ende dieses Artikels nutzen: Er zeigt exponierte Systeme und die von außen erkennbare Software.
Die konkret installierte Version lässt sich von außen nicht in jedem Fall bestimmen — ausschlaggebend ist der Abgleich mit dem Hersteller-Advisory.
CVE-2026-115252 ist eine kritische Schwachstelle im WordPress-Plugin Confection WordPress Cable, bewertet mit CVSS 10.0. Das Plugin schreibt eine Einstellung unverändert in eine ausführbare PHP-Datei, ohne Berechtigungen oder einen Nonce-Wert zu prüfen, was nicht authentifizierten Angreifenden die Ausführung beliebigen PHP-Codes auf dem Server ermöglicht.
Betroffen sind alle Versionen von 0.4.0 bis einschließlich 0.4.7. Zum Zeitpunkt der Veröffentlichung ist kein Patch verfügbar. Organisationen sollten das Plugin bis zur Bereitstellung einer bereinigten Version deaktivieren oder entfernen und das WordPress-Plugin-Verzeichnis auf eine neue Version überwachen.
WPScan stuft CVE-2026-115252 als aktiv ausgenutzt ein. Betreiber sollten das Plugin sofort deaktivieren oder entfernen, den Zugriff auf Plugin-Settings-Endpunkte über eine Web Application Firewall oder .htaccess sperren und betroffene Systeme priorisiert mitigieren. Sobald eine bereinigte Version erscheint, ist ein umgehendes Update erforderlich.
Stand: 09.11.2026. Dieser Beitrag dient allgemeinen Informationszwecken und ist keine Rechts-, Sicherheits- oder Handlungsberatung im Einzelfall. Sicherheitslage und Patch-Verfügbarkeit können sich seit der Veröffentlichung geändert haben; maßgeblich ist stets das verlinkte Hersteller-Advisory. Trotz sorgfältiger Recherche übernehmen wir keine Gewähr für Aktualität, Richtigkeit und Vollständigkeit.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Erste Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2026-115252
Passive Bewertung
Hinweise zur CVEgefunden oder nicht gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français