bPlugins B Blocks: Gespeichertes Cross-Site Scripting im WordPress-Plugin
Zusammenfassung
Das WordPress-Plugin bPlugins B Blocks bis Version 2.1.15 enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle (XSS, CWE-79). Ein authentifizierter Benutzer mit niedrigen Rechten, etwa ein Contributor, kann bösartigen Script-Code speichern, der im Browser eines anderen Benutzers ausgeführt wird, wenn dieser die betroffenen Inhalte aufruft. Für die Ausnutzung muss ein privilegierter Benutzer aktiv handeln, beispielsweise eine präparierte Seite öffnen oder einen bösartigen Link anklicken, und ein Angreifer könnte so Besucherdaten stehlen oder Konten übernehmen.
Betroffen
- bPlugins B Blocks (WordPress-Plugin) von n/a bis 2.1.15
Behoben in
- Auf Version 2.1.16 oder neuer aktualisieren (gemäss Patchstack und OffSeq; die Version 2.1.16 ist durch den Hersteller oder das WordPress.org-Changelog nicht unabhängig bestätigt)
Umgehung
- Nicht anwendbar, sobald das Plugin aktualisiert ist.
- Das Plugin auf Websites deaktivieren, auf denen es nicht zwingend benötigt wird.
- Contributor- und Author-Konten auf vertrauenswürdige Benutzer beschränken.
- Inhalte mit Plugin-Blöcken vor der Veröffentlichung durch eine Redaktionsperson prüfen lassen.
- Vom Hersteller wurde keine Workaround-Massnahme gefunden.
Ausnutzung
- OffSeq meldet eine öffentliche Offenlegung mit gefundenen Nachweisen, jedoch keine erkennbaren oder bewaffneten Aktivitäten.
- Nicht im CISA-KEV-Katalog aufgeführt.
- Zum Zeitpunkt der Erstellung ist kein öffentlicher Proof of Concept und keine aktive Ausnutzung bestätigt.
Unsere Empfehlung
- Prüfen, ob das Plugin B Blocks installiert ist und welche Version aktiv ist.
- Auf die neueste verfügbare Version aktualisieren und das Changelog auf einen XSS-Fix prüfen.
- Falls ein Update nicht sofort möglich ist, das Plugin deaktivieren oder die Rechte von Contributor- und Author-Konten einschränken.
- Mehrbenutzer-Websites und Websites, bei denen sich Administratoren von weniger vertrauenswürdigen Geräten anmelden, priorisieren.
- Die Website auf unerwartete Skripte oder Inhaltsänderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory CVE-2026-125451 patchstack.com
- OffSeq Radar CVE-2026-125451 radar.offseq.com
- Strix CVE-2026-125451 www.strix.ai
- WordPress.org plugin page B Blocks wordpress.org
- Wordfence threat intel B Blocks www.wordfence.com
- VulDB CVE-2026-104400 (earlier B Blocks XSS) vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:38.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.