Webriti ElitePress-Theme: Cross-Site Request Forgery
Zusammenfassung
Das WordPress-Theme ElitePress von Webriti, Versionen bis und mit 3.2.1, enthält eine Cross-Site Request Forgery (CSRF)-Schwachstelle. Ein Angreifer kann einen angemeldeten Benutzer, zum Beispiel einen Administrator oder Redaktor, dazu bringen, eine manipulierte Seite zu besuchen, die ungewollte Aktionen auf der Website ausführt, etwa Einstellungen oder Passwörter ändern. Der Angreifer benötigt kein Konto, für die Ausnutzung muss jedoch ein Opfer aktiv handeln (Benutzerinteraktion), und die Auswirkung hängt von dessen Berechtigungen ab.
Betroffen
- ElitePress-WordPress-Theme bis und mit 3.2.1
- Untere Grenze des betroffenen Bereichs: Unbekannt (im CVE-Eintrag als "n/a" angegeben)
- Angaben zum Produktstatus im CVE-Eintrag sind widersprüchlich und müssen überprüft werden
Behoben in
- Unbekannt. Es ist keine korrigierte Version bestätigt.
- Patchstack nennt keinen offiziellen Patch.
Umgehung
- Unbekannt. Kein Herstellerfix und keine bestätigte Massnahme.
- Abmelden von WordPress, wenn nicht gearbeitet wird, und für allgemeines Surfen ein separates Browser-Profil verwenden.
- Zugriff auf /wp-admin nach IP-Adresse oder per VPN einschränken, sofern möglich.
- Beim Hosting-Provider oder Anbieter der WAF nachfragen, ob ein Virtual Patch für diese Schwachstelle existiert.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- Nicht im CISA-KEV-Katalog gelistet.
Unsere Empfehlung
- Prüfen, ob ElitePress auf Ihren WordPress-Websites installiert und aktiv ist, auch auf Kundenseiten.
- Falls im Einsatz: Ersatz durch ein gepflegtes Theme planen oder eine korrigierte Version beim Hersteller oder bei Patchstack anfragen.
- Bis dahin die Berechtigungen von Administratoren und Redaktoren einschränken, Abmeldung nach der Arbeit durchsetzen und /wp-admin nach Möglichkeit einschränken.
- Den Patchstack-Eintrag und den Hersteller auf Updates überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- OffSeq radar entry CVE-2026-125839 radar.offseq.com
- Strix CVE entry CVE-2026-125839 www.strix.ai
- threatint CVE entry CVE-2026-125839 cve.threatint.com
- WordPress.org ElitePress theme page wordpress.org
- Wordfence threat intel ElitePress www.wordfence.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 15:26.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.