Ein deaktivierter Tarif von ProfilePress ließ sich ohne Konto und ohne Zahlung buchen, samt der Rolle, die er vergibt. Vier Lücken im Mitgliedschafts-Plugin mit mehr als 100.000 aktiven Installationen betreffen außerdem gesperrte Seiten und versteckte Mitglieder. Die Korrektur steckt in Version 4.17.6.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Die Sicherheitsfirma WPScan hat am 9. November vier Sicherheitslücken in ProfilePress veröffentlicht, die NVD führt sie seit dem 11. November. Drei Lücken erreichen 5,3 von 10 Punkten, eine 4,3, alle gelten als mittel.[1][4] Behoben sind sie in den Versionen 4.17.4 und 4.17.6, das Plugin läuft laut wordpress.org auf mehr als 100.000 Websites (Stand 11. November).[2][3]
Das Wichtigste in Kürze
- Betroffen sind laut WPScan alle Versionen vor 4.17.6, beim Tarifwechsel die Versionen 4.16.13 bis 4.17.3 (behoben in 4.17.4). Aktuell ist Version 4.18.0.
- Drei Lücken nutzt ein Besucher ohne Konto aus: gesperrte Seiten lesen, deaktivierte Tarife buchen, versteckte Mitglieder auflisten. Die vierte braucht ein Abonnenten-Konto mit eigenem Abo.
- Angriffe sind nicht bekannt. WPScan zeigt die Prüfcodes ab dem 23. November.
- Das Änderungsprotokoll von 4.17.6 nennt weitere Korrekturen ohne CVE, darunter einen Upload ohne Anmeldung über Zusatzfelder.
Wie kommt ein Besucher an einen deaktivierten Tarif?
ProfilePress verwaltet Mitgliedschaften als Tarife, und jeder Tarif vergibt eine Rolle. Ein Betreiber, der einen Tarif nicht mehr verkaufen will, deaktiviert ihn. Laut WPScan wies das Plugin bei der Anmeldung negative Tarifkennungen nicht ab, bevor es prüfte, ob der Tarif aktiv ist (CVE-2026-123657). Unangemeldete Besucher konnten sich so in Tarife eintragen, die der Betreiber stillgelegt hatte, und erhielten deren Rolle.[1] Ein deaktivierter Tarif ist nur gesperrt, wenn der Server jede Anfrage dagegen prüft. Ein ausgeblendeter Button genügt nicht. Wie weit die Rolle reicht, legt der Betreiber fest.
Die zweite Lücke (CVE-2026-123661, 4,3) setzt ein Abonnenten-Konto mit eigenem Abo voraus. Beim Wechsel des Tarifs im Checkout prüfte ProfilePress nicht, ob der Zieltarif noch aktiv ist. WPScan nennt ausdrücklich kostenlose Tarife, die eine Rolle vergeben.[1]
Welche Inhalte und Mitgliederdaten lagen offen?
Zwei weitere Lücken betreffen Zugriffsregeln, die nur auf dem Standardweg greifen. Wertete ProfilePress die Schutzregel einer Seite außerhalb der Hauptabfrage aus, konnten Unangemeldete geschützte Seiten über die REST-Schnittstelle lesen (CVE-2026-123656, 5,3).[1] Mitgliederverzeichnisse nahmen zudem Rollen- und Meta-Filter an, die der Administrator nie eingestellt hatte. Damit ließen sich Konten auflisten, die das Verzeichnis verbergen sollte, und Profilfelder auslesen (CVE-2026-123659, 5,3).[1][4]
Das Muster ist nicht neu. Bei Forminator vergab am selben Tag ein Bezahlformular Rollen ohne Zahlung, bei User Registration & Membership hat Dr. Web im Oktober neun Lücken gemeldet. Mitgliedschafts-Plugins verknüpfen Geld, Rolle und Inhalt, und jede dieser Verbindungen braucht eine eigene Prüfung auf dem Server.
Die vier Fälle im Vergleich
| Kennung | Folge | Voraussetzung | Wert |
|---|---|---|---|
| CVE-2026-123657 | Eintrag in deaktivierte Tarife, Rolle des Tarifs | kein Konto | 5,3 mittel |
| CVE-2026-123661 | Wechsel in deaktivierte Tarife, auch kostenlose mit Rolle | Abonnent mit eigenem Abo | 4,3 mittel |
| CVE-2026-123656 | Geschützte Seiten über die REST-Schnittstelle lesbar | kein Konto | 5,3 mittel |
| CVE-2026-123659 | Versteckte Konten und Profilfelder im Mitgliederverzeichnis | kein Konto | 5,3 mittel |
Bewertungen laut WPScan, bei CVE-2026-123659 laut NVD. Status: offengelegt am 9. November, Korrektur verfügbar (4.17.4 beziehungsweise 4.17.6), Angriffe nicht bekannt, Prüfcode ab 23. November öffentlich.
Wie viele Websites betroffen sind, lässt sich nicht beziffern. Laut wordpress.org liefen am 11. November rund 38 Prozent der Installationen auf Versionszweigen vor 4.17 und damit sicher vor der Korrektur, weitere 22 Prozent auf dem Zweig 4.17, der erst ab 4.17.6 vollständig geschützt ist.[2] Die Statistik nennt nur Zweige, der Anteil mit der gepatchten Version bleibt offen. Das Protokoll von 4.17.6 führt außerdem einen Upload ohne Anmeldung über Zusatzfelder auf, ohne CVE und ohne Bewertung. Die Gründe dafür kennt nur der Hersteller Properfraction.
Ein deaktivierter Tarif ist erst gesperrt, wenn der Server ihn ablehnt. Ein ausgeblendeter Button schützt nichts.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Betreiber von Mitgliederbereichen jetzt tun?
- Aktualisieren: Spielen Sie ProfilePress in Version 4.17.6 oder neuer ein, aktuell ist 4.18.0. Prüfen Sie, ob automatische Updates für das Plugin aktiv sind.
- Tarife abgleichen: Suchen Sie in der Mitgliederliste nach Konten in Tarifen, die Sie nicht mehr verkaufen, und nehmen Sie ihnen die Rolle, wenn sie keine Zahlung vorweisen können.
- Zugriff testen: Öffnen Sie nach dem Update in einem abgemeldeten Browser geschützte Seiten und Mitgliederverzeichnisse und prüfen Sie, ob sie nur zeigen, was sie zeigen sollen.
- Meldepflicht klären: Waren Profilfelder oder geschützte Inhalte mit Personenbezug erreichbar, prüfen Sie, ob eine Meldung binnen 72 Stunden nötig ist (Art. 33 DSGVO).[5]
Agenturen mit vielen Kundenwebsites sollten zuerst die Websites aktualisieren, auf denen ProfilePress Kurse oder bezahlte Mitgliedschaften verkauft. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen, Managed-Hoster nennt der WordPress-Hosting-Vergleich.
FAQ: Sicherheitslücken bei ProfilePress
Welche ProfilePress-Version schließt die Sicherheitslücken?
Version 4.17.6 schließt laut WPScan alle vier Lücken, die Tarifwechsel-Lücke ist schon in 4.17.4 behoben. Aktuell ist Version 4.18.0. Die installierte Version zeigt die Plugin-Liste im WordPress-Backend.
Kann jeder Besucher die Lücken ausnutzen?
Drei der vier Lücken nutzt laut WPScan ein Besucher ohne Konto aus. Die vierte, der Wechsel in einen deaktivierten Tarif, braucht ein Abonnenten-Konto mit eigenem Abo. Alle vier gelten mit 4,3 bis 5,3 Punkten als mittel.
Wird ProfilePress schon angegriffen?
Bis zum 11. November 2026 liegen keine Berichte über Angriffe vor, der Fall steht nicht im CISA-Katalog ausgenutzter Schwachstellen. WPScan veröffentlicht die Prüfcodes ab dem 23. November, Updates sollten vorher laufen.
Wie finden Betreiber Konten in deaktivierten Tarifen?
Suchen Sie in der Mitgliederliste nach Konten in Tarifen, die Sie nicht mehr verkaufen. Haben sie keine Zahlung vorzuweisen, entziehen Sie die Rolle und prüfen Sie, ob die Konten Inhalte abgerufen haben.
Quellen
5 Quellen anzeigenQuellen ausblenden
- WPScanCVE-2026-123657, CVE-2026-123661, CVE-2026-123656 und CVE-2026-123659, veröffentlicht am 9. November 2026, abgerufen am 11. November 2026
- wordpress.orgÄnderungsprotokoll von ProfilePress (Version 4.17.6), abgerufen am 11. November 2026
- wordpress.orgProfilePress, aktive Installationen und Versionsverteilung, abgerufen am 11. November 2026
- NVDCVE-2026-123659 und CVE-2026-123657, aufgenommen am 11. November 2026
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 33
Mehr Newshunger?
- Schwere Sicherheitslücke bei Forminator in Registrierungsformularen
- User Registration & Membership: neun Lücken bei über 50.000 WordPress-Websites
- SureCart mit über 80.000 Installationen: Schwere Sicherheitslücke gibt Fremden Zugriff aufs Administratorkonto
- Sicherheitslücke bei WooCommerce Stripe im Express-Checkout
- Sicherheitslücken bei Razorpay for WooCommerce im Checkout
- Everest Forms mit über 90.000 Installationen: Sicherheitslücke legt Zugangsdaten offen, erst der zweite Fix hilft
