webriti Quality WordPress-Theme: Cross-Site Request Forgery im Theme (CVE-2026-125838)
Zusammenfassung
Das webriti Quality WordPress-Theme bis und mit Version 3.3 ist anfällig für Cross-Site Request Forgery (CSRF). Ein Angreifer kann eine manipulierte Webseite erstellen, die beim Besuch durch einen angemeldeten Benutzer unbeabsichtigte Aktionen auf der WordPress-Seite auslöst, etwa Änderungen an Einstellungen oder Konten. Voraussetzung ist, dass ein angemeldeter Benutzer, typischerweise ein Administrator oder Redaktor, Inhalte des Angreifers aufruft. Der CVSS-Wert 8.8 stammt aus dem CNA-Eintrag; NVD hat die Analyse noch nicht abgeschlossen.
Betroffen
- webriti Quality WordPress-Theme, Versionen bis und mit 3.3 (gemäss CNA-Eintrag; nicht gegen NVD bestätigt)
- Die Versionsnummerierung widerspricht sich zwischen den Quellen; die installierte Version im WordPress-Backend prüfen
- Status der Child-Themes Quality Blue und Quality Green: Unbekannt.
Behoben in
Unbekannt. Es wurde keine korrigierte Version und keine Herstellerwarnung gefunden.
Umgehung
- Keine vom Hersteller bestätigte Workaround-Massnahme.
- Bei WordPress abmelden, wenn die Seite nicht verwaltet wird.
- Für administrative Aufgaben ein separates Browserprofil verwenden.
- Administrativen Zugriff nach Möglichkeit auf IP-Adressen oder VPN beschränken.
- Theme entfernen, falls es nicht verwendet wird.
Ausnutzung
- Kein öffentlicher Proof of Concept gefunden.
- Nicht im CISA-KEV-Katalog; keine bekannte Ausnutzung gemeldet.
- Patchstack stuft das Problem als niedrige Priorität ein und hält eine Ausnutzung für unwahrscheinlich.
Unsere Empfehlung
- Prüfen, ob das Quality-Theme auf Ihren WordPress-Seiten installiert ist und welche Version aktiv ist.
- Massnahmen jetzt umsetzen, da keine korrigierte Version bestätigt ist.
- Das Theme nach Möglichkeit durch ein gewartetes Alternativ-Theme ersetzen, da der Hersteller möglicherweise keine weiteren Updates veröffentlicht.
- Administrativen Zugriff einschränken und beim Anmelden als Administrator keine externen Inhalte aufrufen.
- Andere webriti-Produkte im Einsatz prüfen, da am selben Tag mehrere ähnliche CVEs veröffentlicht wurden.
- Patchstack-Warnung und wordpress.org auf Updates überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory: WordPress Quality theme <= 3.3 CSRF patchstack.com
- CVE-2026-125838 mirror record cve.threatint.com
- OffSeq Radar: CVE-2026-125838 radar.offseq.com
- WordPress.org: Quality theme wordpress.org
- Quality theme vendor site quality.webriti.com
- Theme info aggregator: Quality themesinfo.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 15:25.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.