Falang multilanguage for WordPress: Stored XSS über Übersetzung von Begriffen
Zusammenfassung
Das Falang-Multilanguage-Plugin für WordPress vor Version 1.4.6 prüft beim Speichern von Begriffsübersetzungen die Berechtigungen nicht. Benutzer mit mindestens Subscriber-Rolle können Skriptinhalte speichern, die später ohne ausreichende Escaping-Massnahmen ausgegeben werden. Das Skript wird im Browser von höher privilegierten Benutzern wie Administratoren ausgeführt, sobald diese die betroffenen Inhalte aufrufen.
Betroffen
- Falang multilanguage for WordPress Versionen vor 1.4.6 (betroffene früheste Version unbekannt)
Behoben in
- Version 1.4.6
Umgehung
- Unbekannt. Keine vom Hersteller dokumentierte Umgehungsmassnahme gefunden.
Ausnutzung
- Keine Hinweise auf aktive Ausnutzung gefunden. Nicht im CISA-KEV-Katalog.
- CISA SSVC: Ausnutzung none, automatisierbar no.
- Kein öffentlicher Proof of Concept gefunden; dies beweist nicht, dass keiner existiert.
Unsere Empfehlung
- Falang-Installationen inventarisieren und die Plugin-Version prüfen.
- Auf Falang 1.4.6 oder neuer aktualisieren, zuerst Seiten mit offener Registrierung.
- Falls ein Patch nicht sofort möglich ist, offene Registrierung für Subscriber einschränken oder deaktivieren.
- Subscriber-Konten und letzte Änderungen an Übersetzungsinhalten auf unerwartete Skriptcodes prüfen.
- WPScan-Advisory und Changelog des Plugins überwachen.
- Hinweis: Die CVSS-Werte unterscheiden sich je nach Quelle (NVD/CVSS 3.1 8.0 wie angegeben; Vulners 5.9; VulDB 3.5). Massnahmen nach dem höchsten glaubwürdigen Wert planen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan advisory CVE-2026-105262 wpscan.com
- Falang plugin page (WordPress.org) wordpress.org
- VulDB 424582 vuldb.com
- OpenCVE CVE-2026-105262 app.opencve.io
- Vulners VulnRichment CVE-2026-105262 vulners.com
- Strix CVE-2026-105262 www.strix.ai
- WPScan Falang plugin vulnerabilities wpscan.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:14.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.