Calculated Fields Form: DOM-basierte Cross-Site Scripting (XSS) Schwachstelle

Zusammenfassung

Das WordPress-Plugin Calculated Fields Form bis und mit Version 5.5.2.8 enthält eine DOM-basierte Cross-Site Scripting (XSS) Schwachstelle. Ein Angreifer kann schädliche Skripte in Seiten einschleusen, die das Plugin verwenden, wodurch Besucherdaten gestohlen oder Konten übernommen werden können. Es ist kein Login nötig, ein Opfer muss jedoch eine Aktion ausführen, etwa einen präparierten Link oder eine präparierte Seite öffnen.

Betroffen

• codepeople Calculated Fields Form (WordPress-Plugin) von n/a bis und mit 5.5.2.8

Behoben in

• Version 5.5.2.9 oder neuer (gemäss Patchstack und dem CNA-Eintrag; Changelog des Herstellers nicht unabhängig geprüft)

Umgehung

• Kein vom Hersteller dokumentierter Workaround.
• Patchstack hat eine Schutzregel veröffentlicht, die Angriffe blockiert, bis das Plugin aktualisiert ist.
• Generische Massnahmen bis zur Aktualisierung: Plugin auf Seiten deaktivieren, die es nicht benötigen, oder Anfragen mit einer Web Application Firewall (WAF) filtern.

Ausnutzung

• OffSeq meldet 'Not known to be exploited' mit dürftiger Beweislage; Angriffsverkehr könnte beobachtet worden sein, dies ist jedoch nicht bestätigt.
• Patchstack stuft die Schwachstelle als mittlere Priorität ein und erwartet eine Ausnutzung.
• Kein öffentlicher Proof of Concept gefunden.
• In den geprüften Quellen nicht im CISA KEV aufgeführt.

Unsere Empfehlung

• Calculated Fields Form so bald wie möglich auf Version 5.5.2.9 oder neuer aktualisieren und danach die installierte Version überprüfen.
• Falls eine Aktualisierung nicht sofort möglich ist, das Plugin auf Seiten deaktivieren, die es nicht benötigen, oder eine WAF-Filterung anwenden.
• Alle WordPress-Seiten auf dieses Plugin und auf weitere veraltete Plugins prüfen.
• Web-Server- und WAF-Logs auf verdächtige Anfragen überwachen und Formulare auf unerwartete Skripte prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory for CVE-2026-124253 patchstack.com
• Patchstack vulnerabilities overview for Calculated Fields Form patchstack.com
• OffSeq Radar entry for CVE-2026-124253 radar.offseq.com
• WordPress.org plugin page for Calculated Fields Form wordpress.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 12:25.