Event post WordPress-Plugin: Gespeichertes Cross-Site-Scripting
Zusammenfassung
Das WordPress-Plugin Event post bis und mit Version 6.1.2 enthält eine gespeicherte Cross-Site-Scripting-Schwachstelle (CWE-79). Ein angemeldeter Benutzer mit niedrigen Rechten, etwa Contributor, kann bösartige Skripte hinterlegen, die im Browser anderer Benutzer ausgeführt werden, beispielsweise wenn ein privilegierter Benutzer eine präparierte Seite öffnet oder ein Formular absendet. Eine erfolgreiche Ausnutzung kann den Diebstahl von Besucherdaten oder die Übernahme von Konten ermöglichen.
Betroffen
- WordPress-Plugin Event post, Versionen 0 bis 6.1.2
Behoben in
- Version 6.1.3 (gemäss CVE-Eintrag und Patchstack; zum Zeitpunkt der Recherche noch nicht auf WordPress.org bestätigt)
Umgehung
- Keine offizielle Massnahme bekannt.
- Falls ein Update nicht sofort möglich ist, Plugin deaktivieren oder Rollen Contributor und höher auf vertrauenswürdige Benutzer beschränken.
Ausnutzung
- Kein öffentlicher Exploit-Code bekannt.
- Nicht in CISA KEV aufgeführt.
- Keine Berichte über aktive Ausnutzung.
Unsere Empfehlung
- Alle WordPress-Seiten mit Event post identifizieren und deren Versionen erfassen.
- Auf Version 6.1.3 oder neuer aktualisieren, nachdem die Version auf WordPress.org oder beim Hersteller bestätigt wurde.
- Bis zur Behebung Konten mit Contributor- oder höheren Rechten prüfen und nicht benötigte entfernen.
- Bestehende Event-Beiträge und Event-Felder auf unerwartete Skripte oder HTML-Inhalte prüfen.
- NVD, CISA KEV und die Patchstack-Seite in einigen Tagen erneut prüfen, da der Status noch zurückgestellt ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-125781 www.cve.org
- Patchstack advisory patchstack.com
- OffSeq threat radar radar.offseq.com
- Strix CVE-2026-125781 www.strix.ai
- WordPress.org plugin changelog wordpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:38.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.