Photo Engine WordPress-Plugin: Gespeichertes XSS über Keyword-Namen
Zusammenfassung
Das WordPress-Plugin Photo Engine vor 6.6.2 bereinigt und escaped Keyword-Namen weder vor dem Speichern noch bei der Ausgabe auf der Debugging-Seite. Ein Angreifer mit einem Author-Konto oder höher kann bösartigen Script-Code einschleusen, der im Browser eines Administrators ausgeführt wird, sofern dieser die Debugging-Seite aktiviert hat. Die Ausnutzung setzt ein authentifiziertes Konto und eine Aktion des Administrators voraus; der CVSS-Score beträgt 6.4 (mittel).
Betroffen
- Photo Engine (Media Organizer & Lightroom) WordPress-Plugin, Versionen vor 6.6.2 (Angabe des CNA: 0 bis vor 6.6.2)
- Hinweis: VulDB nennt bis 6.6.1, was mit diesem Bereich übereinstimmt
- Hinweis: Der Hersteller ist im CVE-Eintrag als Unbekannt aufgeführt; Meow Apps wird als Hersteller angenommen
Behoben in
- Version 6.6.2 (gemäss CNA-Eintrag; Bestätigung durch den Hersteller ausstehend)
Umgehung
- Debugging-Seite deaktivieren, falls sie nicht benötigt wird
- Konten mit Author-Berechtigungen oder höher überprüfen und einschränken
- Nur anwenden, falls 6.6.2 nicht installiert werden kann; nicht durch eine Herstellerquelle bestätigt
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; nicht in der KEV-Liste
- Kein öffentlicher Proof of Concept gefunden
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total
Unsere Empfehlung
- Photo Engine auf Version 6.6.2 oder neuer aktualisieren, sobald die Veröffentlichung auf WordPress.org oder der Herstellerseite bestätigt ist
- Prüfen, ob die Debugging-Seite aktiviert ist, und sie bei Nichtbedarf deaktivieren
- Konten mit Author-Berechtigungen oder höher prüfen und nicht benötigte entfernen
- Den Fix-Status des verwandten CVE-2026-120575 (gespeichertes XSS, bis 6.5.7) prüfen und NVD auf den offiziellen Score überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan advisory wpscan.com
- CVE Record CVE-2026-123667 www.cve.org
- OpenCVE CVE-2026-123667 app.opencve.io
- VulDB CVE-2026-123667 vuldb.com
- Photo Engine plugin page on WordPress.org wordpress.org
- Meow Apps WP/LR Sync product page meowapps.com
- Offseq radar CVE-2026-123667 radar.offseq.com
- EUVD-2026-115670 (related XSS, CVE-2026-120575) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:44.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.