Bold Page Builder WordPress-Plugin: Persistente Cross-Site-Scripting-Schwachstelle

Zusammenfassung

Das WordPress-Plugin Bold Page Builder bis und mit Version 5.9.11 enthält eine persistente Cross-Site-Scripting-Schwachstelle (XSS). Ein authentifizierter Benutzer mit Berechtigung zum Bearbeiten von Inhalten kann bösartige Skripte speichern, die im Browser jeder Person ausgeführt werden, die die betroffene Seite aufruft. Dies kann zum Diebstahl von Sitzungsdaten oder zu Administratoraktionen führen, falls ein Administrator die Seite aufruft. Für eine Ausnutzung muss ein Opfer die präparierte Seite aufrufen; der CNA stuft die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als gering ein.

Betroffen

• Bold Page Builder Plugin (WordPress) bis und mit Version 5.9.11
• Erforderliche Berechtigung laut Patchstack: Contributor (nicht vollständig verifiziert)

Behoben in

• Version 5.9.12 (laut Patchstack und einer Sekundärquelle; noch nicht gegen das Changelog des Herstellers bestätigt)

Umgehung

• Contributor- und Author-Konten auf vertrauenswürdiges Personal beschränken und prüfen, wer Seiteninhalte hinzufügen oder bearbeiten darf.
• Kürzlich bearbeitete Seiten, die mit dem Plugin erstellt wurden, auf unerwartete Skriptinhalte prüfen.
• Eine Web Application Firewall oder virtuelles Patching einsetzen, falls sich das Update verzögert.

Ausnutzung

• Kein öffentlicher Proof of Concept oder Exploit bekannt (VulDB, OffSeq).
• Nicht als in freier Wildbahn ausgenutzt bekannt; zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog.
• Die Daten sind vorläufig; CISA KEV und öffentliche Exploit-Quellen erneut prüfen.

Unsere Empfehlung

• Das Plugin Bold Page Builder auf Version 5.9.12 oder neuer aktualisieren, nachdem die fixe Version gegen den Patchstack-Advisory verifiziert wurde.
• Prüfen, auf welchen WordPress-Seiten das Plugin eingesetzt wird und wer Contributor- oder höhere Konten besitzt.
• Von Benutzern mit niedrigen Berechtigungen bearbeitete Seiten auf eingeschleuste Skripte prüfen.
• Seiten mit vielen Editor-Konten oder Administrator-Besuchern priorisieren; spätestens im nächsten Wartungsfenster patchen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory CVE-2026-125455 patchstack.com
• VulDB CVE-2026-125455 vuldb.com
• OffSeq Radar CVE-2026-125455 radar.offseq.com
• Strix CVE-2026-125455 www.strix.ai
• WordPress.org Bold Page Builder plugin wordpress.org
• Patchstack advisory CVE-2026-62110 (earlier issue) patchstack.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:41.