SureRank WordPress-Plugin: Gespeicherte Cross-Site-Scripting-Schwachstelle
Zusammenfassung
Das SEO-Plugin SureRank für WordPress bis einschliesslich Version 1.10.3 enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS, CWE-79). Ein Angreifer mit einem Konto mit niedrigen Rechten, etwa einem Mitarbeiter-Konto (Contributor), kann schädliche Skripte speichern, die im Browser anderer Benutzer ausgeführt werden, zum Beispiel wenn eine privilegierte Person eine präparierte Seite öffnet oder ein Formular absendet. Erfolgreiche Angriffe können Besucherdaten abgreifen oder Konten übernehmen.
Betroffen
- SureRank WordPress-Plugin bis und mit Version 1.10.3 (CNA-Eintrag: von n/a bis 1.10.3)
- VulDB listet 1.10.0 bis 1.10.3 als betroffen; der genaue Bereich ist nicht vollständig bestätigt
Behoben in
- Aktualisierung auf SureRank 1.11.0 oder neuer (gemäss CNA-Eintrag und Drittanbieter-Tracker; im Änderungsprotokoll des Herstellers noch nicht bestätigt)
Umgehung
- In den Quellen wurde keine Workaround-Lösung gefunden. Plugin aktualisieren; falls dies nicht sofort möglich ist, Konten mit Contributor-Rechten und höher einschränken.
Ausnutzung
- Nicht bekannt, dass die Schwachstelle ausgenutzt wird. Nicht im CISA-KEV-Katalog.
- Bis 11. November 2026 wurde kein öffentlicher Exploit-Code gefunden.
Unsere Empfehlung
- Das SureRank-Plugin im Rahmen des normalen Wartungszyklus auf Version 1.11.0 oder neuer aktualisieren.
- Nach dem Update die installierte Version und das Änderungsprotokoll des Plugins überprüfen.
- Benutzerkonten mit Publikations- oder Bearbeitungsrechten prüfen und nicht benötigte Konten entfernen.
- Die Website auf unerwartete Skripte oder Inhaltsänderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE record (CVE Program) www.cve.org
- Patchstack advisory patchstack.com
- VulDB vuldb.com
- Tracker (offseq) radar.offseq.com
- Strix (NVD mirror) www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:25.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.