Bold Page Builder: Gespeichertes Cross-Site-Scripting (XSS) im WordPress-Plugin

Zusammenfassung

Das WordPress-Plugin Bold Page Builder bis und mit Version 5.9.11 neutralisiert Benutzereingaben nicht ausreichend, wodurch gespeichertes Cross-Site-Scripting (XSS) möglich ist. Ein Angreifer mit einem Konto der Rolle Contributor oder höher kann bösartige Skripte in Inhalten speichern. Das Skript wird ausgeführt, wenn ein privilegierter Benutzer, etwa ein Editor oder Administrator, oder ein Besucher die betroffene Seite öffnet und damit interagiert, was zu Datendiebstahl oder Kontoübernahme führen kann.

Betroffen

• Plugin Bold Page Builder (WordPress), Versionen bis und mit 5.9.11
• Erforderliche Berechtigung: Contributor (gemäss Patchstack)

Behoben in

• Auf Bold Page Builder 5.9.12 oder neuer aktualisieren (gemäss Patchstack und CVE-Eintrag)

Umgehung

• Unbekannt. Keine Workaround-Massnahme des Herstellers gefunden.
• Bis zur Aktualisierung Konten mit der Rolle Contributor oder höher auf vertrauenswürdige Benutzer beschränken und kürzlich bearbeitete Seiten mit Bold Page Builder überprüfen.

Ausnutzung

• Patchstack stuft die Schwachstelle als niedrige Priorität ein und hält eine Ausnutzung für unwahrscheinlich.
• Keine Hinweise auf aktive Ausnutzung gefunden.
• CISA KEV: nicht gelistet (nur sekundäre Quelle).
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Das Plugin Bold Page Builder auf Version 5.9.12 oder neuer aktualisieren.
• Prüfen, welche WordPress-Konten Rechte als Contributor oder höher besitzen, und nicht benötigte Konten entfernen.
• Kürzlich veröffentlichte oder bearbeitete Inhalte auf unerwartete Skripte prüfen.
• Die Website nach dem Update auf ungewöhnliche Administrationsaktivitäten überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory patchstack.com
• OffSeq Radar: CVE-2026-125680 radar.offseq.com
• Strix CVE record CVE-2026-125680 www.strix.ai
• VulDB entry CVE-2026-125455 (same description, possible duplicate) vuldb.com
• Patchstack advisory for earlier issue CVE-2026-62110 (<=5.9.9) patchstack.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:37.