Create WordPress-Plugin: Persistentes Cross-Site Scripting (XSS)
Zusammenfassung
Das WordPress-Plugin Create von John-Michael L'Allier in den Versionen bis einschliesslich 3.1.1 enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS). Ein Angreifer mit Zugang auf Contributor-Stufe kann bösartige Skripte hinterlegen, die im Browser anderer Benutzer ausgeführt werden, zum Beispiel wenn ein Administrator die betroffenen Inhalte aufruft. Für die Ausnutzung muss ein privilegierter Benutzer eine Aktion ausführen, etwa einen bösartigen Link anklicken oder eine präparierte Seite aufrufen. Der CVSS-3.1-Basiswert beträgt 6.5 (Mittel).
Betroffen
- WordPress-Plugin Create (Slug mediavine-create), Versionen bis einschliesslich 3.1.1
- Untere Grenze des betroffenen Bereichs: Unbekannt (im CVE-Eintrag als n/a aufgeführt)
Behoben in
- Version 3.1.2 (gemäss CNA-Eintrag von Patchstack)
Umgehung
Unbekannt. Keine vom Hersteller dokumentierte Massnahme gefunden. Auf Version 3.1.2 oder neuer aktualisieren.
Ausnutzung
- Nicht bekanntermassen aktiv ausgenutzt
- Nicht im CISA-KEV-Katalog aufgeführt
- Ein nicht verifizierter Drittbericht erwähnt Angriffsverkehr auf Honeypots; nicht bestätigt
- Kein öffentlicher Proof of Concept gefunden
Unsere Empfehlung
- Das Plugin Create auf Version 3.1.2 oder neuer aktualisieren
- Prüfen, welche Benutzerrollen Inhalte erstellen oder bearbeiten können, und Contributor- und Editor-Konten wo möglich einschränken
- Prüfen, ob Administratoren regelmässig von Benutzern erstellte Inhalte aufrufen, und Beiträge sowie Seiten auf unerwartete Skriptinhalte überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-125045 www.cve.org
- Patchstack advisory (CNA) patchstack.com
- WordPress.org plugin page (changelog) wordpress.org
- Strix CVE-2026-125045 www.strix.ai
- OffSeq Radar CVE-2026-125045 (third party) radar.offseq.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:26.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.