GenerateBlocks WordPress-Plugin: Gespeicherte Cross-Site-Scripting-Lücke (XSS)
Zusammenfassung
Das WordPress-Plugin GenerateBlocks bis und mit Version 2.5.0 enthält eine gespeicherte Cross-Site-Scripting-Lücke (XSS, CWE-79). Ein Angreifer mit einem Konto auf Stufe Contributor kann schädliche Skripte speichern, die im Browser jeder Person ausgeführt werden, die den betroffenen Inhalt aufruft, einschliesslich Administratoren. Für die Ausnutzung muss eine privilegierte Person eine Aktion ausführen, etwa einen schädlichen Link anklicken oder eine präparierte Seite aufrufen.
Betroffen
- WordPress-Plugin GenerateBlocks bis und mit 2.5.0
- Die früheste betroffene Version ist nicht angegeben (CNA nennt "n/a"). Unbekannt, ob ältere Versionen betroffen sind.
Behoben in
- Version 2.5.1 (gemäss Patchstack und dem Changelog von GeneratePress 2.5.1)
- Die Zuordnung dieser CVE zum Changelog 2.5.1 ist abgeleitet; der Changelog nennt die CVE nicht.
Umgehung
- Kein Workaround des Herstellers dokumentiert.
- Bis zum Update: Konten mit Rechten ab Stufe Contributor prüfen und die Selbstregistrierung einschränken.
Ausnutzung
- Laut CISA KEV per 11. November 2026 nicht gelistet.
- Keine Meldungen über Ausnutzung gefunden.
- Kein öffentlicher Exploit-Code in Metasploit oder Exploit-DB indexiert; kein öffentliches Nuclei-Template.
- Der Eintrag ist neu (veröffentlicht am 11. November 2026), der Status kann sich daher ändern.
Unsere Empfehlung
- Alle WordPress-Seiten mit GenerateBlocks, einschliesslich GenerateBlocks Pro, inventarisieren und deren Versionen erfassen.
- Auf Version 2.5.1 oder neuer aktualisieren.
- Konten ab Stufe Contributor prüfen und offene Registrierung deaktivieren, sofern nicht benötigt.
- Den Status im NVD und im CISA KEV beobachten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack vulnerability advisory patchstack.com
- GeneratePress GenerateBlocks 2.5.1 changelog generatepress.com
- WordPress.org GenerateBlocks plugin page wordpress.org
- Patchstack GenerateBlocks vulnerability history patchstack.com
- Strix CVE-2026-121773 details www.strix.ai
- OffSeq radar CVE-2026-121773 radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:43.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.