BP Better Messages WordPress-Plugin: Gespeicherte Cross-Site-Scripting-Schwachstelle
Zusammenfassung
Das WordPress-Plugin BP Better Messages bis einschliesslich Version 3.2.1 enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS). Ein Angreifer mit einem Konto mit niedrigen Rechten (z. B. Subscriber) kann im Messaging-Funktion ein schädliches Skript speichern, das im Browser eines anderen Benutzers ausgeführt wird, sobald dieser die Nachricht anzeigt. Für die erfolgreiche Ausnutzung muss ein privilegierter Benutzer eine Aktion ausführen, etwa eine manipulierte Nachricht öffnen; dies kann zu Datendiebstahl oder zur Übernahme von Konten führen.
Betroffen
- BP Better Messages (WordPress-Plugin, bp-better-messages) von n/a bis einschliesslich 3.2.1
- Erforderliche Berechtigung: Subscriber (niedrig)
- Unbekannt: frühere betroffene Versionen ausserhalb des angegebenen Bereichs
Behoben in
- Version 3.2.2 (laut Patchstack und CVE-Eintrag; noch nicht unabhängig auf wordpress.org oder im Changelog des Herstellers bestätigt)
Umgehung
- Kein Workaround des Herstellers dokumentiert.
- Bis zum Update die Registrierung und die Nutzung der Messaging-Rollen einschränken, um die Anzahl der Benutzer zu reduzieren, die Payloads einschleusen können.
Ausnutzung
- Kein öffentlicher Proof-of-Concept bekannt Stand 10. November 2026.
- Keine Hinweise auf Ausnutzung in freier Wildbahn; nicht im CISA-KEV-Katalog gelistet.
- Patchstack erwartet eine Ausnutzung und verweist auf Massenausnutzungskampagnen bei Schwachstellen dieser Art.
- Der Status kann sich ändern; die Quellen sind erst wenige Stunden alt.
Unsere Empfehlung
- BP Better Messages auf Version 3.2.2 oder neuer aktualisieren und die installierte Version im WordPress-Backend überprüfen.
- Falls ein Update nicht sofort möglich ist, Registrierung und Zugriff auf das Messaging einschränken.
- Prüfen, ob Administratoren oder Mitarbeitende den Messenger im Admin-Bereich nutzen, und Nachrichten auf verdächtige Skripte kontrollieren.
- Auf Updates achten, da dieser Hersteller in letzter Zeit mehrere XSS-Schwachstellen hatte (CVE-2026-114179, CVE-2026-94376).
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- OffSeq Radar radar.offseq.com
- VulDB vuldb.com
- Strix CVE-2026-124257 www.strix.ai
- CVE mirror (threatint) cve.threatint.com
- WordPress.org plugin page wordpress.org
- Better Messages changelog www.better-messages.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 11:51.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.