Tribulant Newsletters WordPress-Plugin: Cross-Site Request Forgery
Zusammenfassung
Das WordPress-Plugin Newsletters (newsletters-lite) bis und mit Version 4.18.2 ist von einer Cross-Site Request Forgery (CSRF) Schwachstelle betroffen. Ein Angreifer kann einen angemeldeten WordPress-Benutzer dazu bringen, unbeabsichtigt Aktionen auf der Website auszuführen, etwa Einstellungen zu ändern. Voraussetzung ist, dass ein privilegierter Benutzer, typischerweise ein Administrator, während der Anmeldung eine vom Angreifer kontrollierte Seite besucht. Die CNA bewertet die Schwachstelle mit CVSS 9.6, VulDB mit 4.3 (Medium); der Schweregrad ist umstritten.
Betroffen
- Newsletters (newsletters-lite) WordPress-Plugin von Tribulant Software, Versionen bis und mit 4.18.2
- VulDB listet zusätzlich 4.18.0 und 4.18.1 als betroffen
Behoben in
- Unbekannt. Für diese CVE ist keine korrigierte Version bestätigt.
- Version 4.18.2 gilt noch nicht als sicher; die neueste auf WordPress.org verfügbare Version installieren und das Patchstack-Advisory prüfen.
Umgehung
- Keine herstellerspezifische Workaround bekannt.
- Plugin deaktivieren, falls es nicht geschäftskritisch ist, bis ein Update bestätigt ist.
- Vor dem Besuch anderer Websites von der WordPress-Administration abmelden.
Ausnutzung
- Kein öffentlicher Proof of Concept und kein Exploit-Code bekannt.
- Bei der letzten Prüfung nicht im CISA KEV gelistet.
- OffSeq listet die Schwachstelle als nicht bekanntermassen ausgenutzt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Alle WordPress-Websites mit dem Newsletters-Plugin erfassen und die genaue Version notieren.
- Auf die neueste Version aktualisieren (mindestens 4.18.2, die auch weitere kritische Probleme behebt) und mit dem Patchstack-Advisory abgleichen.
- Plugin deaktivieren, sofern es nicht benötigt wird, bis das Update bestätigt ist.
- Zwei-Faktor-Authentisierung und sorgfältiges Session-Management für WordPress-Administratorkonten durchsetzen.
- NVD-Eintrag, Patchstack und CISA KEV auf Änderungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- VulDB CVE-2026-116863 vuldb.com
- OffSeq threat radar radar.offseq.com
- WordPress.org Newsletters plugin wordpress.org
- TheHackerWire CVE-2026-116863 www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 22:06.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.