Live Composer: Gespeichertes Cross-Site Scripting über Shortcode-Attribute
Zusammenfassung
Das WordPress-Plugin Live Composer vor 2.1.24 escaped mehrere Attribute eines Page-Builder-Shortcodes nicht, bevor sie in HTML-Tag-Attributen ausgegeben werden. Ein Angreifer mit einem Contributor-Konto oder höher kann einen Schadcode speichern, der im Browser jeder Person ausgeführt wird, die den Beitrag aufruft. Auch ein Administrator, der eine ausstehende Einreichung prüft, kann betroffen sein, weshalb der Angreifer mit Administrationsrechten handeln könnte. Das Opfer muss den betroffenen Inhalt aufrufen.
Betroffen
- Live Composer WordPress-Plugin, Versionen 0 bis vor 2.1.24 (Angaben des CNA)
- Der Angreifer benötigt ein Contributor-Konto oder höher
Behoben in
- Live Composer 2.1.24 (erste korrigierte Version laut Angaben des CNA)
Umgehung
- Nicht nötig, sobald 2.1.24 oder neuer installiert ist.
- Bis zum Patch: nicht vertrauenswürdige Contributor-Konten einschränken oder entfernen, schädliche Shortcode-Inhalte aus bestehenden Beiträgen entfernen und privilegierte Sitzungen ungültig machen, falls betroffene Seiten aufgerufen wurden. Diese Massnahmen stammen aus verwandten Live-Composer-Advisories und sind für diese CVE nicht verifiziert.
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt.
- OffSeq: Ausnutzung nicht bekannt.
- In den geprüften Verzeichnissen wurde kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Live-Composer-Installationen inventarisieren und die Version prüfen. Alles unterhalb von 2.1.24 ist betroffen.
- Auf 2.1.24 oder neuer aktualisieren, nachdem die Korrektur im WordPress.org-Changelog bestätigt wurde.
- Contributor- und Author-Konten prüfen und nicht benötigte entfernen.
- Ausstehende Beiträge und bestehende Inhalte auf Shortcode-Attribute mit Script- oder HTML-Code prüfen.
- Administratoren sollten nach Möglichkeit keine nicht vertrauenswürdigen Einreichungen angemeldet vorschauen.
- NVD und das WPScan-Advisory erneut prüfen, da der CVSS-Vektor noch in Prüfung ist (die Beschreibung spricht eher für PR:L als für PR:H).
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability advisory wpscan.com
- CVE Record CVE-2026-119531 www.cve.org
- VulDB CVE-2026-119531 vuldb.com
- OpenCVE CVE-2026-119531 app.opencve.io
- OffSeq threat radar CVE-2026-119531 radar.offseq.com
- WPScan plugin page Live Composer wpscan.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:33.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.