WP Chill Strong Testimonials: Cross-Site-Scripting durch Content Injection
Zusammenfassung
Das WordPress-Plugin Strong Testimonials bis und mit Version 3.3.17 enthält eine Cross-Site-Scripting-Schwachstelle (XSS), die das Einschleusen von skriptbezogenen HTML-Elementen in Seiten erlaubt. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann ohne Anmeldung und ohne Benutzerinteraktion unerwünschte Inhalte auf betroffenen Seiten platzieren, etwa Werbung, Betrugs- oder Malware-Links. Die Quellen beschreiben die genaue Injektionsstelle nicht, weshalb das Risiko davon abhängt, wo Testimonials auf einer Website angezeigt werden.
Betroffen
- Strong Testimonials (WordPress-Plugin, WP Chill) Versionen 0 bis 3.3.17
- Nicht betroffen ab Version 3.3.18
Behoben in
- Strong Testimonials auf Version 3.3.18 oder höher aktualisieren
- Der Changelog-Eintrag des Herstellers zu Version 3.3.18 konnte nicht bestätigt werden.
Umgehung
- Unbekannt. Die Injektionsstelle wird in den Quellen nicht beschrieben, daher kann keine Massnahme ohne Patch genannt werden.
Ausnutzung
- Nicht bekanntermassen ausgenutzt.
- Nicht im CISA-KEV-Katalog gelistet.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
- Kein öffentlicher Proof of Concept gefunden; die CVE wurde am 11.11.2026 veröffentlicht.
Unsere Empfehlung
- Alle WordPress-Websites mit Strong Testimonials und deren Versionen erfassen.
- Das Plugin auf Version 3.3.18 oder höher aktualisieren und danach die installierte Version überprüfen.
- Testimonial-Inhalte und Felder des Einreichungsformulars auf eingeschleuste Skripte oder unerwünschte Links prüfen.
- Das Patchstack-Advisory und NVD auf Aktualisierungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-121028 www.cve.org
- Patchstack advisory patchstack.com
- OffSeq threat radar radar.offseq.com
- Strix AI CVE page www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:51.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.