webriti vice WordPress-Theme: Cross-Site Request Forgery
Zusammenfassung
Das WordPress-Theme vice von webriti ist in den Versionen bis und mit 1.4 für Cross-Site Request Forgery (CSRF) anfällig. Ein Angreifer kann eine präparierte Webseite erstellen, die einen angemeldeten Benutzer, typischerweise einen Administrator, dazu bringt, ungewollte Aktionen auf der Website auszuführen, etwa Einstellungen oder Passwörter zu ändern. Voraussetzung ist, dass das Opfer die präparierte Seite besucht, während es auf der Website angemeldet ist.
Betroffen
- WordPress-Theme vice von webriti, alle Versionen bis und mit 1.4
- Versionen von 0 bis 1.4 gemäss CVE-Eintrag
Behoben in
Unbekannt. Zum Zeitpunkt der Erstellung ist keine korrigierte Version veröffentlicht.
Umgehung
Unbekannt. Ein Workaround des Herstellers ist nicht bekannt. Allgemeine CSRF-Schutzmassnahmen wie Anti-CSRF-Token und POST-only für sensible Aktionen dürften helfen, dies ist für vice jedoch nicht bestätigt.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn.
- Kein öffentlicher Proof-of-Concept-Exploit gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Alle Kundenwebseiten inventarisieren und prüfen, ob das Theme vice installiert ist und welche Version verwendet wird.
- Wird das Theme nicht genutzt, deaktivieren und entfernen.
- Wird es genutzt, das Patchstack-Advisory verfolgen und eine korrigierte Version einspielen, sobald diese verfügbar ist.
- Bis zu einer Korrektur Administratoren-Anmeldungen einschränken, Administratoren zum Abmelden vor dem Besuch anderer Webseiten anhalten und, sofern verfügbar, eine WAF oder Virtual Patching einsetzen.
- Einen Ersatz für das Theme in Betracht ziehen, da der Hersteller voraussichtlich keine weiteren Updates veröffentlichen wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory: WordPress vice theme <= 1.4 CSRF patchstack.com
- CVE Record CVE-2026-125844 www.cve.org
- OffSeq Radar: CVE-2026-125844 radar.offseq.com
- Threatint: CVE-2026-125844 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 15:24.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.