Salon Booking System: Cross-Site Request Forgery in REST API ermöglicht Anlegen von Administratorkonten
Zusammenfassung
Das WordPress-Plugin Salon Booking System vor Version 10.31.9 überprüft REST-API-Anfragen aus angemeldeten Browser-Sitzungen nicht korrekt. Ein nicht authentifizierter Angreifer kann einen präparierten Link erstellen, der beim Anklicken durch einen angemeldeten Administrator Anfragen im Browser dieses Administrators fälscht. Der Angriff kann zum Anlegen eines neuen Administratorkontos und damit zur vollständigen Kontrolle über die Website führen, inklusive Buchungs- und Kundendaten.
Betroffen
- WordPress-Plugin Salon Booking System, alle Versionen vor 10.31.9 (VulDB nennt bis 10.31.8)
Behoben in
- Version 10.31.9 (gemäss WPScan; Sicherheitshinweis des Herstellers nicht gefunden)
- Version 10.31.11 oder neuer wird empfohlen, da eine separate, spätere CVE (CVE-2026-110035) in 10.31.11 behoben ist
Umgehung
- Kein Workaround nötig, wenn das Plugin aktualisiert werden kann.
- Falls eine sofortige Aktualisierung nicht möglich ist, Administratoren anweisen, sich bei Nichtbenutzung von WordPress abzumelden, und während der Anmeldung keine anderen Websites zu besuchen.
- Deaktivierung des Plugins auf Websites in Betracht ziehen, die nicht gepatcht werden können.
Ausnutzung
- Kein öffentlicher Proof of Concept gefunden.
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht im CISA-KEV-Katalog gelistet.
- EPSS-Wert 0.11% (gemäss einem GitHub-Triage-Issue, nicht von CISA).
- VulDB führt die Schwachstelle als 0-Day, was bedeutet, dass sie vor einem Fix öffentlich bekannt wurde, nicht zwingend ausgenutzt wird.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Das Plugin Salon Booking System auf Version 10.31.11 oder neuer aktualisieren.
- Alle WordPress-Websites auf dieses Plugin prüfen, auch solche, die nicht aktiv gewartet werden.
- Nach dem Patchen und bei vermutetem Phishing gegen Administratoren die Benutzerliste auf unerwartete Administratorkonten prüfen.
- Administrator-Sitzungen einschränken: für die tägliche Arbeit separate Konten verwenden, sich nach der Nutzung abmelden und Zwei-Faktor-Authentifizierung einsetzen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan: Salon Booking System < 10.31.9 - Administrator Account Creation via CSRF wpscan.com
- VulDB: CVE-2026-110015 vuldb.com
- VulDB: vulnerability 421151 vuldb.com
- VulDB: vulnerability 421661 (fix in 10.31.11) vuldb.com
- Vulners: PT-2026-115474 index vulners.com
- GitHub triage issue (EPSS, KEV status) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:06.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.