RestroPress WordPress-Plugin: Cross-Site Request Forgery

Zusammenfassung

Das WordPress-Plugin RestroPress bis einschliesslich Version 3.4.11 ist von einer Cross-Site Request Forgery (CSRF)-Schwachstelle betroffen (CWE-352). Ein Angreifer kann eine manipulierte Webseite erstellen, die im Browser eines angemeldeten Benutzers Aktionen auf der WordPress-Website ausführt, ohne dass dieser es beabsichtigt. Voraussetzung ist, dass das Opfer angemeldet ist und einen bösartigen Link oder eine bösartige Seite aufruft; welche Aktionen ein Angreifer erzwingen könnte, ist nicht dokumentiert.

Betroffen

• RestroPress WordPress-Plugin, Versionen 0 bis 3.4.11
• Ab Version 3.5.0 gilt das Plugin gemäss CVE-Eintrag und Patchstack als nicht betroffen

Behoben in

• Auf RestroPress 3.5.0 oder neuer aktualisieren
• Herstellerhinweis nicht gefunden; Verfügbarkeit von 3.5.0 auf WordPress.org vor der Einführung prüfen

Umgehung

Unbekannt. Es ist kein Workaround des Herstellers dokumentiert. Allgemeine CSRF-Massnahmen: Anzahl der Administrator- und Shop-Manager-Konten begrenzen, sich nach der Nutzung von der WordPress-Verwaltung abmelden und in derselben Browsersitzung keine anderen Seiten besuchen.

Ausnutzung

• Laut einem Aggregator nicht als aktiv ausgenutzt bekannt
• Nicht im CISA KEV-Katalog gelistet
• Bisher kein öffentlicher Proof-of-Concept gefunden
• Patchstack stuft die Schwachstelle als niedrige Priorität ein und hält eine Ausnutzung für unwahrscheinlich

Unsere Empfehlung

• Alle WordPress-Websites mit RestroPress inklusive Erweiterungen inventarisieren
• Auf Version 3.5.0 oder neuer aktualisieren, sobald diese auf WordPress.org bestätigt ist
• Bis dahin die Anzahl der Administratorkonten reduzieren und für Administratoren Abmeldung und Zwei-Faktor-Authentifizierung erzwingen
• Patchstack-Eintrag und WordPress.org auf Changelog-Updates überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory CVE-2026-125784 patchstack.com
• CVE Record CVE-2026-125784 www.cve.org
• Strix CVE-2026-125784 www.strix.ai
• OffSeq Radar CVE-2026-125784 radar.offseq.com
• WordPress.org RestroPress plugin page en-gb.wordpress.org
• Patchstack advisory CVE-2024-32449 (prior CSRF issue) patchstack.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:23.