Display Eventbrite Events Plugin: Gespeichertes Cross-Site Scripting

Zusammenfassung

Das WordPress-Plugin Display Eventbrite Events von Fullworks enthält bis einschliesslich Version 6.9.1 eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS). Ein authentifizierter Benutzer mit niedrigen Berechtigungen kann bösartige Skripte hinterlegen, die auf der Website ausgeliefert werden. Für einen Angriff ist eine Interaktion eines Opfers erforderlich, etwa eines angemeldeten Administrators oder Besuchers, und durch die Scope-Änderung kann das Skript Auswirkungen über das Plugin hinaus haben.

Betroffen

• Display Eventbrite Events (Slug widget-for-eventbrite-api) bis und mit 6.9.1
• Erforderliche Berechtigungsstufe: Unbekannt (Advisory nicht abgerufen; Quellen deuten auf niedrige Berechtigungen hin, möglicherweise Contributor)

Behoben in

• Version 6.9.2 (gemäss Solution-Text des CVE-Eintrags und Patchstack; noch nicht gegen das Changelog des Herstellers bestätigt)

Umgehung

• Unbekannt. Kein vom Hersteller dokumentierter Workaround gefunden.
• Bis zum Update den Kreis der Konten einschränken, die Inhalte hinzufügen oder bearbeiten können, die das Plugin darstellt, und bestehende Inhalte auf eingeschleuste Skripte prüfen.

Ausnutzung

• Gemäss OffSeq nicht als ausgenutzt bekannt.
• KEV-Status: Nein (Strix).
• Öffentlicher Proof of Concept: Unbekannt.

Unsere Empfehlung

• Das Plugin Display Eventbrite Events auf Version 6.9.2 oder neuer aktualisieren, nachdem die fixe Version auf der Patchstack-Seite oder im WordPress.org-Changelog bestätigt wurde.
• Prüfen, welche Konten Contributor-Rollen oder höhere Rollen besitzen, und nicht benötigte Konten entfernen.
• Bestehende Event-Seiten und Widgets auf unerwartete Skripte prüfen.
• Websites priorisieren, die das Plugin für Ticketverkäufe nutzen oder viele Contributor-Konten haben.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory patchstack.com
• Strix CVE record mirror www.strix.ai
• OffSeq threat radar radar.offseq.com
• Patchstack vulnerability list for the plugin patchstack.com
• WordPress.org plugin page wordpress.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:28.