Paid Videochat Turnkey Site: Reflektiertes Cross-Site-Scripting (XSS)
Zusammenfassung
Das WordPress-Plugin Paid Videochat Turnkey Site (ppv-live-webcams) enthält eine Schwachstelle für reflektiertes Cross-Site-Scripting (CWE-79). Ein Angreifer kann bösartige Skripte einschleusen, die im Browser eines Besuchers oder eines angemeldeten Benutzers ausgeführt werden, zum Beispiel um Daten zu stehlen oder Konten zu übernehmen. Voraussetzung ist, dass ein Opfer einen präparierten Link anklickt oder eine präparierte Seite besucht. Der CNA stuft das Problem mit CVSS 7.1 (Hoch) ein, VulDB bewertet es tiefer.
Betroffen
- WordPress-Plugin Paid Videochat Turnkey Site bis und mit 7.5.14
- Gemäss CVE-Eintrag gelten Versionen vor 7.5.15 als betroffen; genaue Bandbreite ab n/a
Behoben in
- Version 7.5.15 oder neuer (gemäss CNA und Patchstack)
Umgehung
- Unbekannt. Keine vom Hersteller dokumentierte Massnahme für Versionen 7.5.14 und älter.
- Patchstack meldet eine Mitigationsregel, die Angriffe bis zum Update blockiert, sofern Patchstack eingesetzt wird.
Ausnutzung
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
- Patchstack beschreibt das Problem als mittlere Priorität und erwartet eine Ausnutzung.
- Kein öffentlicher Proof of Concept in der Recherche gefunden; dies belegt nicht, dass keiner existiert.
Unsere Empfehlung
- Prüfen Sie alle WordPress-Installationen auf dieses Plugin und dessen Version.
- Aktualisieren Sie das Plugin auf Version 7.5.15 oder neuer.
- Falls ein Update nicht sofort möglich ist, holen Sie Unterstützung bei Ihrem Hosting-Provider oder Webentwickler ein oder deaktivieren Sie das Plugin vorübergehend.
- Prüfen Sie weitere VideoWhisper-Plugin-Komponenten auf derselben Website.
- Überwachen Sie Logs auf verdächtige Anfragen mit Skriptinhalten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack: Vulnerability entry CVE-2026-111840 patchstack.com
- OpenCVE: CVE-2026-111840 app.opencve.io
- WPScan: Paid Videochat Turnkey Site plugin wpscan.com
- WordPress.org: Paid Videochat Turnkey Site plugin wordpress.org
- Strix AI: CVE-2026-111840 www.strix.ai
- VulDB: Entry 424839 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 03.11.2026 09:46.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.