Passster WordPress-Plugin: Gespeicherte Cross-Site-Scripting-Schwachstelle (XSS)

Zusammenfassung

Das WordPress-Plugin Passster (Slug content-protector), mit dem Seiten und Inhalte mit einem Passwort geschützt werden, enthält in den Versionen bis und mit 4.3.21 eine gespeicherte Cross-Site-Scripting-Schwachstelle. Ein Angreifer mit Contributor-Berechtigung kann bösartige Skripte speichern, die im Browser anderer Benutzer ausgeführt werden, die den betroffenen Inhalt aufrufen. Für die Ausnutzung ist eine Interaktion eines Benutzers, etwa eines Editors oder Administrators, mit dem präparierten Inhalt nötig, und die Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit wird jeweils als gering eingestuft.

Betroffen

• Passster WordPress-Plugin (WP Chill), Versionen bis und mit 4.3.21
• Erforderliche Berechtigung laut Patchstack: Contributor

Behoben in

• Patchstack und der offizielle CVE-Eintrag nennen Version 4.3.22 als korrigierte Version.
• Zum Zeitpunkt der Recherche ist auf WordPress.org die Version 4.3.21 die aktuelle Veröffentlichung, die Korrektur konnte deshalb auf der Plugin-Seite nicht bestätigt werden.

Umgehung

• Keine vom Hersteller bestätigte Massnahme bekannt.
• Contributor- und höhere Rollen auf vertrauenswürdige Personen beschränken und nicht benötigte Konten entfernen.
• Bestehende Inhalte mit dem Passster-Shortcode auf unerwartete Skripte oder HTML prüfen.
• Eine Web Application Firewall oder ein virtuelles Patching prüfen, falls verfügbar.

Ausnutzung

• Zum Zeitpunkt der Recherche wurde keine aktive Ausnutzung festgestellt.
• Nicht im KEV-Katalog aufgeführt.
• Kein öffentlicher Proof of Concept gefunden; der CVE wurde am 11. November 2026 veröffentlicht.
• Der NVD-Status ist Deferred, die Bewertung kann sich daher ändern.

Unsere Empfehlung

• Alle WordPress-Websites mit Passster identifizieren.
• Sobald die Version 4.3.22 auf WordPress.org verfügbar ist, auf Version 4.3.22 oder neuer aktualisieren.
• Bis dahin Contributor- und höhere Rollen auf vertrauenswürdige Personen beschränken und Inhalte mit dem Passster-Shortcode prüfen.
• Auf Websites, die nicht geschäftskritisch sind, die Deaktivierung des Plugins in Betracht ziehen.
• Die Seiten von Patchstack und WordPress.org auf die korrigierte Version überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack: WordPress Passster plugin <= 4.3.21 - Cross Site Scripting (XSS) patchstack.com
• WordPress.org: Passster plugin (content-protector) wordpress.org
• Strix: CVE-2026-125454 www.strix.ai
• Tenable: CVE-2025-14865 www.tenable.com
• Patchstack: Passster XSS advisory for version 4.2.18 patchstack.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:26.