Schema & Structured Data for WP & AMP: Gespeichertes Cross-Site-Scripting über Pretty Print
Zusammenfassung
Das WordPress-Plugin Schema & Structured Data for WP & AMP kodiert seine strukturierte Datenausgabe nicht sicher, wenn die Option Pretty Print aktiviert ist. Ein authentifizierter Benutzer mit der Rolle Contributor oder höher kann bösartigen Skriptcode in einem Custom Field speichern, das einer Schema-Eigenschaft zugeordnet ist. Das Skript wird in den Browsern von Besuchern und Redaktoren ausgeführt, und ein Administrator, der eine manipulierte Seite aufruft, könnte in seiner Sitzung übernommen werden.
Betroffen
- Schema & Structured Data for WP & AMP, alle Versionen vor 1.70 (gemäss CVE-Eintrag, 0 bis < 1.70)
- Betroffen sind nur Websites, auf denen die Option Pretty Print aktiviert ist und eine Schema-Eigenschaft einem Custom Field zugeordnet ist
Behoben in
- Version 1.70 oder neuer (Release-Notiz des Herstellers vom 2. November 2026; die Release-Notiz nennt diese CVE nicht, die Zuordnung ist abgeleitet)
Umgehung
- Option Pretty Print deaktivieren (Vorschlag eines Drittanbieters, nicht vom Hersteller)
- Prüfen, welche Konten die Rolle Contributor oder höher haben, und einschränken, wer Custom Fields bearbeiten darf, die Schema-Eigenschaften zugeordnet sind
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt; keine Hinweise auf Ausnutzung in freier Wildbahn gefunden
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung
- Widersprüchliche Angaben: Ein OffSeq-Snapshot meldet keinen öffentlichen Exploit-Code, ein späterer meldet ein öffentliches Nuclei-Erkennungs-Template; nicht verifiziert
- Öffentlicher Proof of Concept: unbekannt
Unsere Empfehlung
- Plugin jetzt auf Version 1.70 oder neuer aktualisieren
- Bis zur Aktualisierung Pretty Print deaktivieren und Konten mit Rolle Contributor oder höher sowie Berechtigungen zur Bearbeitung von Custom Fields prüfen
- Bestehende Schema-Ausgaben und Seiteninhalte auf eingeschleusten Skriptcode prüfen
- Ungewöhnliche Änderungen an Custom Fields und Administrator-Sitzungen auf kürzlich geänderten Seiten überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan advisory wpscan.com
- CVE Record CVE-2026-119035 www.cve.org
- VulDB CVE-2026-119035 vuldb.com
- Plugin release notes version 1.70 structured-data-for-wp.com
- WordPress.org plugin page wordpress.org
- OffSeq threat radar radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:45.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.