CVE-2026-19598

🚨 CVE-2026-19598 (https://plugins.trac.wordpress.org/browser/pods/tags/3.3.9/includes/general.php#L400) Das WordPress-Plugin Pods – Custom Content Types and Fields ist in allen Versionen bis einschließlich 3.3.9 anfällig für eine Privilegienausweitung durch Umgehung der Autorisierung (Privilege Escalation via Authorization Bypass). Die Schwachstelle besteht darin, dass der pods_admin-AJAX-Router jede Zugriffsprüfung – einschließlich der Methoden-Allowlist, Nonce-Verifikation, Anmelde-Erzwingung und Capability-Prüfung – über pods_error() leitet, das im JSON-Meta-Box-Loader-Kompatibilitätspfad Fehler nur in das PHP-Fehlerprotokoll schreibt und false zurückgibt, anstatt die Anfrage zu beenden, wodurch alle Schutzmechanismen wirkungslos werden. Dadurch ist es nicht authentifizierten Angreifern möglich, ihre Privilegien auf Administrator auszuweiten oder das Passwort eines beliebigen Benutzerkontos, einschließlich designigen des Website-Besitzers, zu überschreiben, was eine vollständige Übernahme der Website ermöglicht, oder eine andere Administratoraktion auszuführen.