Author Image WordPress-Plugin: Gespeichertes Cross-Site Scripting über display_name

Zusammenfassung

Das Plugin Author Image für WordPress in den Versionen bis und mit 4.9.3 validiert den Parameter 'display_name' nicht ausreichend und escaped die Ausgabe nicht korrekt. Ein authentifizierter Angreifer mit mindestens Subscriber-Berechtigung kann beliebige Web-Skripte speichern, die im Browser jeder Person ausgeführt werden, die die betroffene Seite aufruft, einschliesslich Administratoren. Der CVSS-Basiswert beträgt 6.4 (mittel).

Betroffen

• Author Image (WordPress-Plugin, Slug sem-author-image) von denis-de-bernardy
• Alle Versionen bis und mit 4.9.3
• Erfordert ein authentifiziertes Konto mit Subscriber-Berechtigung oder höher

Behoben in

Unbekannt. Es ist keine korrigierte Version bestätigt; die Plugin-Auflistung zeigt weiterhin 4.9.3.

Umgehung

• Kein Workaround des Herstellers gefunden.
• Plugin deaktivieren, falls die Funktion für Autorenbilder nicht benötigt wird.
• Öffentliche Benutzerregistrierung einschränken oder deaktivieren.
• Bestehende Anzeigenamen von Benutzern auf Skriptinhalte prüfen und gefundene Inhalte entfernen.
• Eine WAF-Regel kann als kompensierende Massnahme dienen (keine vom Hersteller bestätigte Korrektur).

Ausnutzung

• Laut einem Aggregator nicht als ausgenutzt bekannt.
• Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Prüfen, ob das Plugin Author Image auf Ihren WordPress-Seiten installiert und aktiv ist.
• Plugin deaktivieren oder entfernen, falls die Funktion nicht benötigt wird.
• Offene Benutzerregistrierung auf öffentlichen Seiten deaktivieren oder neue Konten einschränken.
• Anzeigenamen von Benutzern auf eingeschleusten Skriptinhalt prüfen und gefundene Inhalte bereinigen.
• Die Plugin-Seite auf WordPress.org und den Wordfence-Eintrag auf ein Update überwachen und dieses sofort einspielen, sobald es verfügbar ist.
• Auf öffentlichen Seiten mit offener Registrierung als hohe Priorität behandeln.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-119097 www.cve.org
• Wordfence Threat Intelligence record www.wordfence.com
• Plugin source: sem-author-image.php (line 394) plugins.trac.wordpress.org
• Plugin source: sem-author-image.php (line 608) plugins.trac.wordpress.org
• WordPress plugin listing: sem-author-image wordpress.com
• OffSeq Radar threat entry radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:43.