Spasalon WordPress-Theme: Cross-Site Request Forgery (CSRF)
Zusammenfassung
Das Spasalon WordPress-Theme von webriti in den Versionen 3.0 und älter ist anfällig für Cross-Site Request Forgery (CSRF). Ein Angreifer kann eine präparierte Webseite erstellen, die einen angemeldeten, privilegierten Benutzer dazu bringt, unbeabsichtigte Aktionen auf der Website auszuführen, etwa Einstellungen oder Passwörter zu ändern. Für die Ausnutzung muss das Opfer die präparierte Seite angemeldet besuchen; der Angreifer benötigt kein eigenes Konto. Der CNA (Patchstack) bewertet die Lücke mit CVSS 8.8, VulDB mit 4.3 (mittel), und Patchstack stuft sie als tiefe Priorität ein.
Betroffen
- webriti Spasalon WordPress-Theme, Versionen von 0 bis 3.0
- Einordnung als Theme bestätigt durch CVE-Eintrag und Patchstack (VulDB führt es als Plugin)
Behoben in
Unbekannt. Es wurde weder eine Herstellerwarnung noch eine korrigierte Version gefunden. Patchstack gibt an: No official patch available.
Umgehung
- Prüfen, ob auf einer Website das Spasalon-Theme installiert ist, einschliesslich Child-Themes.
- Bis eine Korrektur verfügbar ist: Administratoren melden sich nach der Bearbeitung ab, nutzen für die Administration ein separates Browserprofil und vermeiden das Surfen auf anderen Websites in derselben Sitzung.
- Anzahl der Administrator- und Editor-Konten begrenzen.
- Falls keine Korrektur erscheint, ein gepflegtes Theme als Ersatz in Betracht ziehen.
- Ein Virtual Patch oder eine WAF-Regel kann helfen; für diese CVE bestätigt keine Quelle eine solche Massnahme.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn (OffSeq: Not known to be exploited).
- Kein öffentlicher Proof of Concept gefunden (VulDB: no available exploit).
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- Prüfen, ob das Spasalon-Theme auf einer Website installiert ist, und in die Patch-Liste aufnehmen.
- Die oben genannten Massnahmen umsetzen, insbesondere auf Websites mit mehreren Administratoren.
- Den Patchstack-Eintrag und die WordPress.org-Themeseite auf eine korrigierte Version überwachen und das Theme ersetzen, falls keine veröffentlicht wird.
- Die Website auf unerwartete Konfigurationsänderungen oder neue Administratorkonten überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-125843 www.cve.org
- Patchstack: WordPress Spasalon theme <= 3.0 CSRF patchstack.com
- VulDB entry 435823 vuldb.com
- OffSeq threat radar entry CVE-2026-125843 radar.offseq.com
- WordPress.org: Spasalon theme wordpress.org
- webriti: SpaSalon product page webriti.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 15:23.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.