Ad Inserter WordPress-Plugin: Cross-Site-Scripting durch Content Injection
Zusammenfassung
Das WordPress-Plugin Ad Inserter bis und mit Version 2.8.19 enthält eine Schwachstelle, die Content Injection (Cross-Site-Scripting) erlaubt. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann unerwünschte Inhalte wie Werbung, Betrugstexte oder Malware-Links auf betroffenen Seiten einschleusen. Die CNA stuft die Lücke als mittel (CVSS 5.3) mit begrenzter Auswirkung ein, und es ist keine Benutzerinteraktion nötig.
Betroffen
- Ad Inserter (WordPress-Plugin) von n/a bis und mit 2.8.19
- Hersteller: Igor Funa
Behoben in
- Version 2.8.20 (laut CNA-Eintrag und Patchstack)
Umgehung
- Unbekannt. Keine vom Hersteller empfohlene Zwischenlösung gefunden. Das Aktualisieren ist die empfohlene Behebung.
Ausnutzung
- Nicht als ausgenutzt bekannt (Stand 11. November 2026).
- Kein öffentlicher Proof of Concept gefunden; die Suche war begrenzt und die CVE ist sehr neu.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
Unsere Empfehlung
- Die installierte Ad Inserter-Version auf allen WordPress-Seiten prüfen, einschliesslich Pro und anderen Varianten.
- Auf Version 2.8.20 oder neuer aktualisieren und die Version anschliessend bestätigen.
- Seiteninhalte öffentlich erreichbarer Websites auf unerwartete Werbung, Links oder Skripte prüfen.
- Auf eine Herstellerwarnung oder einen Proof of Concept achten und den Ausnutzungsstatus in einigen Tagen erneut prüfen.
- Weitere Ad Inserter-Schwachstellen betreffen denselben Versionsbereich, daher ist das Aktualisieren wichtiger als die alleinige Behebung dieser CVE.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- CVE Record CVE-2026-124262 www.cve.org
- VulDB entry 435787 vuldb.com
- OffSeq Radar CVE-2026-124262 radar.offseq.com
- Vulners PT-2026-133688 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 17:43.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.