Heroic WordPress-Theme: Cross-Site Request Forgery (CSRF)
Zusammenfassung
Das WordPress-Theme Heroic von webriti ist in allen Versionen bis einschliesslich 1.4.2 für Cross-Site Request Forgery anfällig. Ein Angreifer kann eine präparierte Webseite erstellen, die einen angemeldeten Benutzer dazu bringt, ungewollt Anfragen an die WordPress-Seite zu senden, zum Beispiel Einstellungen zu ändern oder Inhalte hinzuzufügen, abhängig von den Berechtigungen des Opfers. Für die Ausnutzung muss ein angemeldeter Benutzer, typischerweise ein Administrator oder Redaktor, die Seite des Angreifers besuchen. Eine korrigierte Version ist nicht bekannt, und Patchstack weist darauf hin, dass das Theme seit rund 10 Monaten nicht aktualisiert wurde.
Betroffen
- WordPress-Theme Heroic (webriti), alle Versionen bis einschliesslich 1.4.2
- Beginn des betroffenen Bereichs: n/a (unbekannt)
Behoben in
- Unbekannt. Zum Zeitpunkt der Recherche wurde keine korrigierte Version identifiziert.
Umgehung
- Kein bekannter Workaround des Herstellers.
- Massnahmen auf Entwicklerseite (Anti-CSRF-Token, Prüfung der Herkunft) würden Code-Anpassungen erfordern.
- Administratoren melden sich von WordPress ab, bevor sie andere Webseiten besuchen, oder nutzen ein separates Browserprofil für Administrationsarbeiten.
- Den Zugriff auf /wp-admin nach IP-Adresse oder via VPN einschränken, sofern möglich.
- Zwei-Faktor-Authentifizierung aktivieren und die Anzahl der Administratorkonten begrenzen.
Ausnutzung
- Nicht bekannt, dass die Schwachstelle ausgenutzt wird (Stand 11. Nov 2026).
- VulDB meldet keinen öffentlich verfügbaren Exploit.
- Nicht verifiziert: Eintrag im CISA-KEV-Katalog und öffentlicher Proof-of-Concept-Code.
Unsere Empfehlung
- Prüfen, ob das Theme Heroic installiert ist und ob die Version 1.4.2 oder älter ist.
- Vor dem Abschluss dieses Eintrags das Patchstack-Advisory und die wordpress.org-Seite auf eine korrigierte Version prüfen.
- Falls keine Korrektur verfügbar ist, den Ersatz des Themes planen, wie von Patchstack empfohlen.
- Bis dahin die oben genannten Workarounds anwenden, insbesondere für Administratorkonten, die auch für allgemeines Surfen genutzt werden.
- Falls eine WAF oder ein Virtual-Patching-Dienst im Einsatz ist, nachfragen, ob dieses Advisory abgedeckt ist.
- Backups aufrecht erhalten und auf unerwartete Einstellungs- oder Inhaltsänderungen achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory: WordPress Heroic theme <= 1.4.2 CSRF patchstack.com
- VulDB entry CVE-2026-125841 vuldb.com
- OffSeq Radar: CVE-2026-125841 radar.offseq.com
- CVE record mirror: CVE-2026-125841 cve.threatint.com
- wordpress.org: Heroic theme wordpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 15:22.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.