Prenotazioni WordPress-Plugin: Unauthentifiziertes Stored XSS über Einstellungen
Zusammenfassung
Das WordPress-Plugin Prenotazioni bis einschliesslich Version 1.7.5 führt beim Speichern seiner Einstellungen keine Berechtigungs- und CSRF-Prüfungen durch und escaped einige dieser Einstellungen bei der Ausgabe nicht. Ein nicht angemeldeter Angreifer kann dadurch schädliche Skripte speichern, die im Browser von Administratoren und Website-Besuchern ausgeführt werden. Sobald ein Administrator die manipulierten Inhalte aufruft, kann der Angreifer das Administratorkonto übernehmen; NVD bewertet die Schwachstelle mit CVSS 8.8.
Betroffen
- Prenotazioni WordPress-Plugin bis einschliesslich 1.7.5
- Alle WordPress-Websites mit diesem Plugin
Behoben in
- Unbekannt. WPScan listet 'No known fix'; es wurde weder eine Herstellerwarnung noch eine korrigierte Version gefunden.
Umgehung
- Plugin deaktivieren und entfernen, falls es nicht benötigt wird; dies ist die einzige Massnahme, die die Schwachstelle sicher schliesst.
- Falls es verbleiben muss, den Zugriff auf den WordPress-Adminbereich und die Plugin-Einstellungen einschränken, zum Beispiel über IP-Beschränkungen oder eine WAF.
- Gespeicherte Plugin-Einstellungen und Administratorkonten auf unerwartete Skriptinhalte prüfen und Admin-Aktivitätsprotokolle überprüfen.
- WordPress-Core und alle anderen Plugins aktuell halten und starke Benutzerberechtigungen durchsetzen.
Ausnutzung
- Laut Drittanbieter-Trackern nicht bekanntermassen in freier Wildbahn ausgenutzt und nicht im CISA KEV gelistet (nicht direkt im CISA-Katalog überprüft).
- Öffentlicher Proof of Concept: unklar; es wurde kein PoC-Code verifiziert.
- EPSS zum Zeitpunkt der Recherche etwa 0,1 %.
- VulDB bewertet die Schwachstelle mit 4.3 (Mittel) und gibt an, dass kein Exploit verfügbar ist.
Unsere Empfehlung
- Auf allen WordPress-Websites eine Plugin-Inventur durchführen, um Installationen von Prenotazioni zu finden.
- Plugin entfernen oder mindestens den Zugriff auf dessen Adminfunktionen einschränken, bis eine Herstellerkorrektur bestätigt ist.
- Herstellerankündigungen und WPScan auf eine Korrektur überwachen und den Status vor dem Schliessen erneut prüfen, da der NVD-Eintrag noch auf 'Deferred' steht.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability entry wpscan.com
- OpenCVE CVE-2026-103305 app.opencve.io
- VulDB 416505 vuldb.com
- NVD via Vulners vulners.com
- GitHub tracker issue 1708 github.com
- HOL Guard CVE entry hol.org
- Positive Technologies PT-2026-110008 vulners.com
- CVE-2024-31102 analysis (ogma.in) ogma.in
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:44.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.