VOD Infomaniak WordPress-Plugin: Cross-Site Request Forgery (CSRF)
Zusammenfassung
Das WordPress-Plugin VOD Infomaniak, das WordPress-Websites mit dem Video-on-Demand-Dienst von Infomaniak verbindet, ist in Versionen bis 1.5.16 von einer Cross-Site Request Forgery (CSRF)-Schwachstelle betroffen. Ein Angreifer kann eine präparierte Webseite erstellen, die einen angemeldeten Benutzer zu unbeabsichtigten Aktionen auf der Website veranlasst, wodurch Daten verändert werden können (nur Integrität betroffen). Voraussetzung ist, dass ein angemeldeter Benutzer dazu gebracht wird, die Seite des Angreifers aufzurufen.
Betroffen
- WordPress-Plugin VOD Infomaniak, alle Versionen bis 1.5.16
Behoben in
- Version 1.5.17 oder neuer
Umgehung
- Keine Workaround-Massnahme vom Hersteller dokumentiert.
- Bis zur Installation des Updates das Plugin deaktivieren, falls es nicht benötigt wird.
- WordPress-Administratoren und Redaktoren daran hindern, während der Anmeldung nicht vertrauenswürdige Websites aufzurufen.
Ausnutzung
- Nicht bekannt, dass die Schwachstelle ausgenutzt wird.
- VulDB meldet keinen verfügbaren Exploit; in Metasploit und Exploit-DB wurde kein Exploit-Code gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
Unsere Empfehlung
- Alle WordPress-Websites mit dem Plugin VOD Infomaniak identifizieren.
- Das Plugin auf Version 1.5.17 oder neuer aktualisieren und die installierte Version überprüfen.
- Websites priorisieren, auf denen Redaktoren oder Administratoren während der Anmeldung im Web surfen.
- Patchstack und NVD erneut prüfen, sobald NVD den Eintrag analysiert hat.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory: WordPress VOD Infomaniak plugin <= 1.5.16 CSRF patchstack.com
- CVE Record CVE-2026-125445 www.cve.org
- VulDB CVE-2026-125445 vuldb.com
- OffSeq Radar: CVE-2026-125445 radar.offseq.com
- Patchstack: VOD Infomaniak plugin overview patchstack.com
- Patchstack advisory: VOD Infomaniak plugin <= 1.5.7 CSRF (2024) patchstack.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 21:25.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.