VISeek WordPress-Plugin: Cross-Site Request Forgery in viseek-easy-custom-search
Zusammenfassung
Das WordPress-Suchplugin VillaTheme VISeek ist in allen Versionen bis und mit 1.0.5 von einer Cross-Site Request Forgery (CSRF) Schwachstelle betroffen. Ein Angreifer kann eine präparierte Seite erstellen, die einen angemeldeten, privilegierten Benutzer dazu bringt, unbeabsichtigt Aktionen auszuführen, etwa Einstellungen zu ändern. Voraussetzung ist, dass das Opfer im Backend angemeldet ist und die Seite des Angreifers öffnet; der Angreifer benötigt kein Konto auf der Website.
Betroffen
- VISeek WordPress-Plugin (viseek-easy-custom-search) von n/a bis und mit 1.0.5
Behoben in
- Version 1.0.6 oder neuer (erste nicht betroffene Version gemäss CVE-Eintrag und Patchstack)
Umgehung
- Keine Workaround-Massnahme dokumentiert. Auf Version 1.0.6 oder neuer aktualisieren.
- Falls ein Update nicht sofort möglich ist, sollten Administratoren während der Anmeldung im WordPress-Backend keine anderen Websites aufrufen und für Administrationsarbeiten ein separates Browserprofil verwenden.
Ausnutzung
- Gemäss OffSeq und strix.ai nicht als ausgenutzt bekannt.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar.
Unsere Empfehlung
- Prüfen, ob das VISeek-Plugin auf Ihren WordPress-Websites installiert ist und welche Version aktiv ist.
- Das Plugin auf Version 1.0.6 oder neuer aktualisieren.
- Administratoren darauf hinweisen, während der Anmeldung im WordPress-Backend keine unbekannten Links zu öffnen.
- Ist das Plugin nicht installiert, ist keine Massnahme nötig.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack: WordPress VISeek Plugin <= 1.0.5 CSRF patchstack.com
- CVE Record CVE-2026-121770 www.cve.org
- OffSeq Radar: CVE-2026-121770 radar.offseq.com
- strix.ai: CVE-2026-121770 www.strix.ai
- WordPress.org plugin listing (VISeek) wordpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:14.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.