CVE-2026-109592 in OpenStation Plugin
Zusammenfassung
von VulDB • 30.10.2026
Das Plugin „OpenStation: Desktop Windows, Dock & Virtual Desktops for WP Admin“ für WordPress ist in allen Versionen bis einschließlich 1.1.16 anfällig für eine Umgehung der Autorisierung (Authorization Bypass). Dies liegt daran, dass das Plugin nicht ordnungsgemäß überprüft, ob ein Benutzer berechtigt ist, eine Aktion durchzuführen. Dadurch können authentifizierte Angreifer mit Zugriffsrechten auf Subscriber-Ebene und höher die Platzierungszeilen anderer beliebiger Benutzer (Position, Sortierreihenfolge, übergeordneter Ordner und Metadaten) ändern sowie serialisierte Metadaten – einschließlich Titel, Permalink und Beitragsstatus – der Entitäten lesen, auf die diese verwaisten Platzierungen verweisen. Die Ausnutzung erfordert das Vorhandensein mindestens einer verwaisten Platzierung – ein Zustand, der natürlich durch den eigenen Papierkorb-Kaskadenmechanismus des Plugins entsteht, bei dem ein übergeordneter Ordner als „im Papierkorb“ markiert wird, während die parent_id (Eltern-ID) der untergeordneten Platzierungen intakt bleibt –, und der Angreifer muss zunächst OpenStation selbst über den save-openstation-AJAX-Endpunkt aktivieren, was nur die Fähigkeit ‚read‘ erfordert, die jeder Standard-WP-Rolle innewohnt. Dies wurde auch unabhängig vom OpenStation-Team entdeckt.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.