Rank Math mit über 4 Millionen Installationen: vier Lücken, eine davon ohne Login

Fremde konnten im SEO-Plugin Rank Math ohne Anmeldung die gespeicherte Analyse einer Website löschen. Version 1.0.280 vom 6. Oktober schließt diese Lücke und drei weitere, für die Angreifer ein Administratorkonto brauchten. Die Sicherheitsdatenbank WPScan zählt für das Plugin mit über 4 Millionen Installationen damit 15 Lücken seit Mai.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Am 12. Oktober veröffentlichte WPScan den Eintrag CVE-2026-104751, gemeldet vom Sicherheitsforscher Duy Tran.^[1] Das Update lag da seit sechs Tagen bereit, im Changelog sprach Rank Math nur von zusätzlicher Prüfung der Ein- und Ausgaben.^[2] Einen Hinweis auf vier Lücken fanden Betreiber dort nicht.

Das Wichtigste in Kürze

• CVE-2026-104751 betrifft Rank Math bis 1.0.279: Ohne Anmeldung ließen sich die Ergebnisse des SEO Analyzers löschen (CVSS 3.1: 5,3, vergeben von WPScan).
• Dasselbe Update schließt drei Lücken, die ein Administratorkonto voraussetzen.
• WPScan führt für 2026 bereits 15 Lücken in Rank Math, fünf davon ohne Anmeldung ausnutzbar.
• Angriffe sind bis zum 14. Oktober nicht bekannt, Details will WPScan am 26. Oktober zeigen.

Was konnten Fremde ohne Anmeldung anrichten?

Der SEO Analyzer von Rank Math prüft die ganze Website auf Fehler und speichert das Ergebnis samt Datum. Bis Version 1.0.279 genügte eine präparierte Anfrage an den Verwaltungsbereich von WordPress, um diese Ergebnisse zu löschen.^[1] Das Plugin wertete die Anweisung schon beim Laden des Moduls aus, ohne Benutzerrechte oder ein Sicherheitstoken (Nonce) abzufragen. Version 1.0.280 prüft beides, bevor Rank Math die Daten entfernt.^[3]

Daten auslesen oder Code einschleusen konnten Angreifer damit nicht, verloren ging nur der alte Prüfstand. WPScan stuft die Lücke deshalb als mittel ein.

Schwerer wiegt eine der drei weiteren Lücken im selben Update. Über den Import von Einstellungen ließ sich eine PHP-Datei hochladen und auf dem Server ausführen, allerdings nur mit Administratorkonto (CVSS 3.1: 6,6).^[4] Nach einem Passwortdiebstahl reicht ein Admin-Konto damit bis zur Kontrolle über den Server.

Warum findet WPScan so viele Lücken in Rank Math?

Mit dem Oktober-Update führt WPScan in diesem Jahr 15 Einträge zu Rank Math, verteilt auf vier Versionen seit Ende Mai.^[5] Fünf davon setzen keine Anmeldung voraus. Drei Einträge betreffen neue KI-Funktionen, etwa die Abilities-API, über die KI-Agenten WordPress steuern. Über die Datei llms.txt für Sprachmodelle gelangten vor Version 1.0.277.1 Texte passwortgeschützter Beiträge nach außen.

Im SEO-Plugin All in One SEO ließen sich Anfang Oktober ohne Benutzerkonto fremde Shortcodes ausführen, Ultimate Member schloss am 5. Oktober sechs Lücken auf einmal. Jede neue Schnittstelle bringt eigene Routen mit, und jede Route braucht ihre Rechteprüfung. Fehlt eine davon, steht die Funktion jedem Besucher offen.

Was sollten Betreiber jetzt tun?

• Aktualisieren: Bringen Sie Rank Math auf Version 1.0.280 oder neuer. Wie viele Websites schon umgestiegen sind, verrät die Statistik von wordpress.org nicht.
• Admin-Konten aufräumen: Entfernen Sie verwaiste Administratorzugänge und schalten Sie die Zwei-Faktor-Anmeldung ein.
• Ältere Versionen vorziehen: Agenturen aktualisieren Kundensites mit Versionen vor 1.0.277 zuerst. Dort genügt ein Autorenkonto, um Code auf dem Server auszuführen (CVSS 3.1: 7,2).
• Analyse prüfen: Fehlen frühere Ergebnisse im SEO Analyzer, starten Sie die Prüfung neu.

Ebenfalls am 12. Oktober meldete WPScan eine Lücke in Cart Abandonment Recovery für WooCommerce mit über 300.000 Installationen: Bis Version 2.1.3 genügte Fremden die E-Mail-Adresse eines Kunden, um dessen abgebrochenen Warenkorb zu löschen oder zu verändern (CVSS 3.1: 5,3).^[6] Version 2.1.4 behebt den Fehler.

Weil die DSGVO auch das unbefugte Verändern personenbezogener Daten als Datenpanne wertet, kann bei solchen Warenkörben die Meldepflicht binnen 72 Stunden greifen (Art. 4 Nr. 12, Art. 33).^[7] Hoster mit Update-Service listet der WordPress-Hosting-Vergleich, Alternativen zu Rank Math zeigt der Vergleich der SEO-Plugins.

FAQ: Rank Math mit über 4 Millionen Installationen: vier Lücken, eine davon ohne Login

Quellen

Mehr Newshunger?

• Click to Chat: kritische Lücke ohne Login im WhatsApp-Plugin mit über 600.000 Installationen
• Ghostscript-Lücke: Präparierte PDFs gefährden WordPress-Server
• Avada Builder: kritische Lücke ohne Login, die fünfte seit Mai
• WPForms mit über 5 Millionen Installationen: dritte Lücke ohne Login in 15 Tagen
• CleanTalk mit über 200.000 Installationen: fünfte Lücke ohne Login seit Juni
• All in One SEO: Lücke ohne Login im SEO-Plugin mit über 2 Millionen Installationen