webriti Wallstreet Agency: Cross-Site Request Forgery im WordPress-Theme

Zusammenfassung

Das WordPress-Theme Wallstreet Agency von webriti enthält bis und mit Version 1.3.4 eine Cross-Site Request Forgery (CSRF)-Schwachstelle. Ein Angreifer kann einen angemeldeten Benutzer dazu bringen, unbemerkt Aktionen auf der Website auszulösen, indem er ihn auf eine manipulierte Seite lockt. Patchstack bewertet die Schwachstelle mit CVSS 8.8, VulDB mit 4.3 (Mittel); die tatsächliche Auswirkung hängt davon ab, welche Aktionen ungeschützt sind, und ist noch unbekannt.

Betroffen

• webriti Wallstreet Agency WordPress-Theme, alle Versionen bis und mit 1.3.4
• Child-Theme des Wallstreet WordPress-Themes; das Parent-Theme hat eine separate CVE (CVE-2026-39718)

Behoben in

Unbekannt. Weder der Hersteller noch Patchstack haben eine korrigierte Version bestätigt.

Umgehung

• Prüfen, ob CSRF-Schutzmechanismen wie Anti-CSRF-Token und Nonces bei sensitiven Aktionen erzwungen werden (generische Empfehlung, nicht herstellerspezifisch)
• Falls das Theme nicht zwingend benötigt wird, deaktivieren
• Anzahl der Administratorkonten reduzieren und Administratoren nach sensiblen Arbeiten abmelden lassen

Ausnutzung

• Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird.
• VulDB meldet keinen verfügbaren Exploit.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Prüfen, ob das Child-Theme Wallstreet Agency installiert ist und welche Version verwendet wird
• Patchstack-Advisory und WordPress.org-Changelog auf eine korrigierte Version prüfen und webriti direkt anfragen
• Falls kein Fix existiert und das Theme nicht zwingend benötigt wird, deaktivieren oder ersetzen
• Administrator-Anmeldungen einschränken und das Surfen im Web mit angemeldeten Admin-Sitzungen vermeiden
• Advisory und Exploit-Status in etwa einer Woche erneut prüfen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory patchstack.com
• VulDB entry vuldb.com
• OffSeq threat entry CVE-2026-125842 radar.offseq.com
• WordPress.org theme listing wordpress.org
• MalCare: WordPress CSRF www.malcare.com
• threatint CVE record cve.threatint.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 15:23.