Wordfence und Patchstack haben mehrere kritische Schwachstellen in WordPress-Plugins und -Themes veröffentlicht. Die Liste umfasst das WPMU DEV Dashboard, das Theme Avada sowie die Plugins TranslatePress, Pods und GiveWP. Die möglichen Folgen reichen von einer Umgehung der Authentifizierung über die Übernahme von Konten bis hin zur Ausführung beliebigen Codes auf dem Server.
Den technisch ausführlichsten Fall beschreibt Patchstack für das Spenden-Plugin GiveWP unter der Kennung CVE-2026-82222. Nach Darstellung der Forscher verkettet die Lücke drei Bausteine: eine defekte Hilfsfunktion für ein vermeintlich sicheres Deserialisieren, einen Spendenvorgang, der dieser Funktion von Angreifern kontrollierte Daten zuführt, und eine Gadget-Chain in Code, den GiveWP selbst ausliefert.
„Dieser Fall zeigt, wie eine PHP-Objektinjektion zur Remote-Code-Ausführung wird, sobald drei Zutaten zusammenkommen: ein Ort, an dem sich ein von Angreifern kontrolliertes serialisiertes Objekt ablegen lässt, Code, der es später deserialisiert, und eine Gadget-Chain in den geladenen Klassen“, erklärte Patchstack.
Damit beschreibt der Anbieter ein klassisches Angriffsmuster in PHP-Anwendungen: Ein Angreifer platziert präparierte serialisierte Daten dort, wo die Anwendung sie speichert — im Fall von GiveWP über den Spendenablauf. Beim späteren Auslesen werden sie wieder in Objekte verwandelt, und vorhandene Klassen liefern die Kette von Methodenaufrufen, über die sich am Ende Code ausführen lässt.
Patchstack ordnet die Schwachstelle in ein wiederkehrendes Fehlermuster ein. „Die Grundursachen sind verbreitet: einem Serialisierungs-Sanitizer zu vertrauen, der Objekte gar nicht entfernt, aus der Datenbank zurückgelesene Daten zu deserialisieren, als seien sie vertrauenswürdig, und Bibliotheken, die nur für die Entwicklung gedacht sind, in die Produktion auszuliefern, wo sie fertige Gadget-Chains bereitstellen“, heißt es in der Analyse.
Gerade der letzte Punkt ist bemerkenswert: Bibliotheken, die ausschließlich für Entwicklung und Tests vorgesehen sind, enthalten häufig Klassen mit Nebenwirkungen, die sich als Bestandteil einer Gadget-Chain missbrauchen lassen. Landen sie im produktiven Auslieferungspaket eines Plugins, liefert der Hersteller den entscheidenden Baustein für die Ausnutzung gleich mit.
Die übrigen genannten Erweiterungen — WPMU DEV Dashboard, Avada, TranslatePress und Pods — wurden von Wordfence und Patchstack ebenfalls als kritisch eingestuft; die berichteten Auswirkungen umfassen Authentifizierungsumgehung, Kontoübernahme und die Ausführung beliebigen Codes.