Kurzfassung

Die WordPress-Erweiterung Divi Membership weist mit CVE-2026-19660 eine kritische Schwachstelle auf, bewertet mit CVSS 9.8. Betroffen sind nach NVD alle Versionen bis einschließlich 2.3.0. Ein Angreifer kann sich ohne Anmeldung als beliebiger bestehender Benutzer anmelden und damit im schlimmsten Fall sofort Administratorrechte übernehmen.

Was ist passiert?

Im Plugin Divi Membership für WordPress steckt eine Authentifizierungs-Umgehung. Die betroffene Funktion verarbeitet einen über die URL übergebenen Parameter und vertraut dabei auf vom Angreifer kontrollierte Daten. Laut NVD kann so die Anmeldung als vorhandener WordPress-Nutzer erzwungen werden.

Besonders brisant ist die mögliche vollständige Übernahme einer Website. Sobald ein Administrator-Konto auf diesem Weg übernommen wird, kann der Angreifer Plugins und Themes verändern, neue Benutzer anlegen, Schadcode nachladen oder die Seite für weitere Angriffe missbrauchen.

Technische Details

Die Schwachstelle steckt in der Funktion process_paypal_callback, die an die WordPress-Aktion init gebunden ist. Ein GET-Parameter namens paypal_param wird Base64-kodiert verarbeitet, ohne dass eine IPN-Prüfung, eine kryptografische Signaturprüfung, eine Besitzprüfung oder ein Nonce-Schutz erfolgt. Dadurch kann eine frei gewählte Benutzer-ID direkt an wp_set_current_user() und wp_set_auth_cookie() übergeben werden.

Nach der vorliegenden Beschreibung wird die PayPal-Komponente sogar dann instanziiert, wenn PayPal gar nicht aktiviert oder konfiguriert ist. Das bedeutet: Der angreifbare Hook soll bei Frontend-Anfragen grundsätzlich registriert werden. Das vergrößert die Angriffsfläche deutlich, weil keine spezielle Zahlungsfunktion aktiv sein muss.

Der CVSS-Basiswert liegt bei 9.8 und damit im kritischen Bereich (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H). Der Vektor bedeutet: Angriff über das Netzwerk, geringe Komplexität, keine Berechtigungen nötig, keine Nutzerinteraktion erforderlich; technisch sind also sehr direkte Angriffe möglich. Der CVSS-Wert beschreibt die technische Schwere der Lücke, nicht automatisch, ob sie bereits aktiv ausgenutzt wird.

Wer ist betroffen?

Betroffen sind laut NVD alle Versionen von Divi Membership bis einschließlich 2.3.0. Ob bereits eine behobene Version bereitsteht, ist aus den verfügbaren Informationen nicht ersichtlich.

Für Unternehmen im DACH-Raum ist das relevant, wenn WordPress im Marketing, für Kundenportale, Microsites, Veranstaltungsseiten oder geschützte Mitgliederbereiche eingesetzt wird. Besonders kritisch ist die Lage bei Instanzen, die direkt aus dem Internet erreichbar sind und lokale Administrator-Konten oder weitreichende Redakteursrechte enthalten.

Empfohlene Maßnahmen

Prüfen Sie sofort, ob Divi Membership auf Ihren WordPress-Systemen installiert ist. Priorität hat die Identifikation aller Instanzen mit Version 2.3.0 oder älter.

  • Plugin auf allen WordPress-Systemen inventarisieren und betroffene Installationen priorisieren.
  • Falls noch kein bestätigter Patch verfügbar ist, das Plugin vorübergehend deaktivieren, insbesondere auf öffentlich erreichbaren Seiten.
  • Administratorkonten, Benutzerlisten und zuletzt vergebene Sitzungen prüfen. Achten Sie auf unerwartete Logins, neue Benutzer, geänderte E-Mail-Adressen und verdächtige Plugin- oder Theme-Änderungen.
  • Aktive Sitzungen abmelden und Authentifizierungs-Cookies ungültig machen, wenn ein Verdacht auf Missbrauch besteht.
  • Administrator-Passwörter zurücksetzen und, falls möglich, zusätzliche Absicherung wie Mehrfaktor-Authentisierung für privilegierte Konten erzwingen.
  • Webserver- und WordPress-Logs nach Aufrufen mit dem Parameter paypal_param durchsuchen.
  • Bei kompromittierten Systemen die Integrität von WordPress-Core, Plugins, Themes und Upload-Verzeichnissen prüfen und notfalls aus vertrauenswürdigen Backups wiederherstellen.

Da keine Hersteller-URL mit weiteren Details oder Patch-Hinweisen vorliegt, müssen Administratoren die Lage derzeit über eigene Bestandsaufnahme und Härtungsmaßnahmen absichern.

Einschätzung von CyberSecurity-News.de

Die technische Tragweite ist hoch, weil die Schwachstelle ohne Anmeldung ausnutzbar sein soll und direkt auf die Benutzeranmeldung zielt. Bei WordPress ist das eine der gefährlichsten Fehlerklassen, weil daraus oft sehr schnell eine vollständige Übernahme der Website folgt.

Die Informationslage ist allerdings unvollständig. NVD nennt die betroffenen Versionen bis 2.3.0 und beschreibt den Angriffsweg detailliert, aber es liegt hier keine ausdrücklich übergebene Herstellerinformation zu Patch-Stand, behobener Version oder Workaround vor. Für Betreiber bedeutet das: nicht auf ein späteres Update warten, sondern sofort prüfen, isolieren und nach Spuren suchen.

Im Vergleich zu vielen anderen Plugin-Lücken ist diese Schwachstelle für produktive WordPress-Installationen deutlich ernster zu nehmen. Wer das Plugin gar nicht einsetzt, ist nicht betroffen; wer es installiert hat, sollte das Thema dagegen mit hoher Priorität behandeln.

Fazit

Wenn Divi Membership in Ihrer WordPress-Umgebung vorhanden ist, zählt CVE-2026-19660 zu den dringenden Fällen. Identifizieren Sie betroffene Systeme sofort, deaktivieren Sie das Plugin notfalls vorübergehend und prüfen Sie kompromissrelevante Spuren, statt nur auf ein künftiges Update zu hoffen.

Quellenangabe

Weiterführende Informationen: NVD-Eintrag zu CVE-2026-19660