Kritische WP Recipe Maker Sicherheitslücke ermöglicht die Ausführung beliebiger Shortcodes

Eine kritische WP Recipe Maker Sicherheitslücke ermöglicht es nicht authentifizierten Angreifern unter bestimmten Voraussetzungen, beliebige registrierte WordPress-Shortcodes auszuführen. Die Schwachstelle wird als CVE-2026-89274 geführt, hat einen CVSS-Score von 9.1 und betrifft WP Recipe Maker bis einschließlich Version 10.8.1.

WP Recipe Maker wird auf mehr als 50.000 WordPress-Websites eingesetzt. Die Sicherheitslücke wurde mit Version 10.8.2 behoben. Betreiber von Websites mit WP Recipe Maker sollten auf die aktuellste verfügbare Version aktualisieren.

Was ist die WP Recipe Maker Sicherheitslücke CVE-2026-89274?

CVE-2026-89274 ist eine Arbitrary-Shortcode-Execution-Schwachstelle in der Verarbeitung von Rezept-Metadaten durch WP Recipe Maker.

Der verwundbare Code verarbeitet Kommentar-Inhalte, die Bestandteil der strukturierten Metadaten eines Rezepts werden können. Während dieser Verarbeitung kann do_shortcode() aufgerufen werden, bevor die übermittelten Inhalte ausreichend bereinigt wurden.

Dadurch können von einem Angreifer kontrollierte Shortcodes serverseitig ausgeführt werden, bevor Funktionen zur Entfernung von HTML- und Shortcode-Syntax die endgültige Ausgabe verarbeiten.

Für den Angriff ist kein WordPress-Benutzerkonto erforderlich

Für die Ausnutzung der WP Recipe Maker Sicherheitslücke ist kein authentifiziertes WordPress-Benutzerkonto erforderlich.

Ein Angreifer kann eine speziell präparierte Rezeptbewertung mit Shortcode-Inhalten als Kommentar übermitteln. Für eine erfolgreiche Ausnutzung muss dieser Kommentar die auf der Website konfigurierte Freigabe erreichen, entweder durch automatische Freigabe oder durch die Freigabe eines Moderators.

Wird der manipulierte Kommentar anschließend innerhalb der Rezept-Metadaten verarbeitet, können darin enthaltene registrierte WordPress-Shortcodes serverseitig ausgeführt werden, wenn die betroffene Rezeptseite geladen wird.

Was kann ein Angreifer mit CVE-2026-89274 erreichen?

Die konkreten Auswirkungen hängen von der jeweiligen WordPress-Website und den Shortcodes ab, die von WordPress, installierten Plugins, Themes oder individuellem Code registriert wurden.

Einige Shortcodes geben ausschließlich öffentlich verfügbare Informationen zurück. Andere können jedoch Informationen oder Funktionen bereitstellen, die normalerweise nicht über nicht authentifizierte Kommentar-Inhalte erreichbar sein sollten.

Sicherheitsforscher haben gezeigt, dass die Ausgabe eines Shortcodes in die JSON-LD-Metadaten eines Rezepts gelangen kann. Dadurch können unter bestimmten Umständen Informationen für Besucher sichtbar werden, die die betroffene Rezeptseite aufrufen.

CVE-2026-89274 sollte ohne zusätzliche Voraussetzungen nicht als uneingeschränkte PHP Remote Code Execution bezeichnet werden. Die Sicherheitslücke ermöglicht die Ausführung beliebiger registrierter WordPress-Shortcodes. Die darüber hinausgehenden Auswirkungen hängen davon ab, welche Shortcodes auf der betroffenen Website verfügbar sind.

Betroffene und sichere WP Recipe Maker Versionen

Von der Sicherheitslücke betroffen sind:

WP Recipe Maker 10.8.1 und ältere Versionen.

Die Sicherheitslücke wurde behoben in:

WP Recipe Maker 10.8.2.

Der offizielle Changelog von WP Recipe Maker bestätigt, dass Version 10.8.2 verhindert, dass Kommentar-Inhalte innerhalb der Rezept-Metadaten als Shortcode ausgeführt werden.

Inzwischen sind neuere WP Recipe Maker Versionen verfügbar. Vservs empfiehlt deshalb, direkt auf die aktuellste verfügbare Version zu aktualisieren und nicht lediglich auf der ersten abgesicherten Version zu verbleiben.

Wird die WP Recipe Maker Sicherheitslücke aktiv ausgenutzt?

Zum Zeitpunkt der Veröffentlichung haben wir keine zuverlässige Bestätigung gefunden, dass CVE-2026-89274 aktiv in freier Wildbahn ausgenutzt wird.

Technische Informationen über die Sicherheitslücke sind jedoch öffentlich verfügbar. In Kombination mit der fehlenden Authentifizierung, einem CVSS-Score von 9.1 und mehr als 50.000 aktiven Installationen besteht ausreichend Grund, das Sicherheitsupdate zeitnah zu installieren.

Website-Betreiber sollten daher nicht auf bestätigte aktive Angriffe warten, bevor sie WP Recipe Maker aktualisieren.

Was sollten WordPress-Administratoren jetzt tun?

• Prüfen Sie, ob WP Recipe Maker auf der Website installiert ist.
• Kontrollieren Sie die aktuell installierte Version.
• Aktualisieren Sie WP Recipe Maker auf die neueste verfügbare Version.
• Verwenden Sie mindestens Version 10.8.2, in der die Sicherheitslücke behoben wurde.
• Entfernen Sie das Plugin vollständig, wenn es nicht mehr benötigt wird.
• Kontrollieren Sie kürzlich eingereichte und freigegebene Rezeptbewertungen auf verdächtige Shortcode-Inhalte.
• Prüfen Sie, welche zusätzlichen Plugins oder individuellen Funktionen WordPress-Shortcodes registrieren.

Temporäre Schutzmaßnahme, wenn ein Update nicht sofort möglich ist

Die Installation der Sicherheitsaktualisierung bleibt die empfohlene und dauerhafte Lösung. Wenn ein sofortiges Update vorübergehend nicht möglich ist, kann das Deaktivieren oder die strikte Moderation von Rezeptkommentaren und Bewertungen die Angriffsfläche reduzieren.

Insbesondere sollte verhindert werden, dass Kommentare oder Rezeptbewertungen unbekannter Besucher automatisch freigegeben und anschließend verarbeitet werden.

Diese Maßnahme ist ausschließlich als temporäre Risikoreduzierung zu betrachten und ersetzt nicht die Installation einer abgesicherten WP Recipe Maker Version.

Website auf eine mögliche Kompromittierung prüfen

Websites, auf denen eine verwundbare WP Recipe Maker Version eingesetzt wurde, sollten auf unerwartete Rezeptbewertungen und Kommentare kontrolliert werden. Besondere Aufmerksamkeit verdienen Kommentare mit Shortcode-ähnlichen Inhalten zwischen eckigen Klammern.

Administratoren sollten zusätzlich folgende Punkte überprüfen:

• kürzlich freigegebene Rezeptkommentare und Bewertungen;
• unerwartete Offenlegung privater oder noch nicht veröffentlichter Inhalte;
• Webserver-Protokolle rund um verdächtige Kommentarübermittlungen;
• unbekannte WordPress-Benutzer oder Administratorkonten;
• unerwartete Änderungen an Plugins, Themes oder WordPress-Dateien, wenn weitere Anzeichen einer Kompromittierung vorhanden sind.

Da die möglichen Auswirkungen von den auf einer bestimmten WordPress-Installation verfügbaren Shortcodes abhängen, sollten Websites mit vielen zusätzlichen Plugins oder individuell entwickelten Shortcodes besonders sorgfältig kontrolliert werden.

Managed WordPress Hosting bei Vservs

Für die Sicherheit einer WordPress-Website reicht es nicht aus, nur WordPress Core aktuell zu halten. Auch Plugins und Themes gehören zur Angriffsfläche einer WordPress-Installation und müssen kontinuierlich gewartet und auf bekannte Sicherheitsrisiken überprüft werden.

Mit Managed WordPress Hosting von Vservs übernehmen wir die technische Verwaltung von WordPress Core, Plugins und Themes und kontrollieren verfügbare Updates sowie bekannte Sicherheitsrisiken. Je nach Managed-WordPress-Lösung gehören außerdem Security Hardening, Monitoring, Malware-Prüfungen, Backups und die technische WordPress-Betreuung zum Leistungsumfang.

Für Kunden, die zusätzlich eine eigene isolierte Serverumgebung benötigen, bietet Vservs Managed VPS Hosting mit technischer Verwaltung der zugrunde liegenden Serverumgebung an.

Bei einer nicht verwalteten WordPress-Installation bleibt die Kontrolle und rechtzeitige Installation von WordPress-Core-, Plugin- und Theme-Updates in der Verantwortung des Website-Betreibers.

Quellen

• Wordfence Threat Intelligence – CVE-2026-89274
• CVE Program – CVE-2026-89274
• WordPress.org – WP Recipe Maker Plugin und offizieller Changelog