vdequator WordPress-Theme: Cross-Site Request Forgery (CSRF)
Zusammenfassung
Das WordPress-Theme vdequator von webriti ist in allen Versionen bis und mit 1.2.7 von einer Cross-Site Request Forgery (CSRF) Schwachstelle betroffen. Ein Angreifer kann einen angemeldeten Benutzer, etwa einen Website-Administrator, dazu bringen, unbeabsichtigte Aktionen auszuführen, beispielsweise indem er ihn auf eine manipulierte Webseite lockt. Voraussetzung ist, dass das Opfer die Seite des Angreifers während der Anmeldung besucht; der Angreifer muss sich dafür nicht vorab anmelden.
Betroffen
- webriti vdequator WordPress-Theme, Versionen bis und mit 1.2.7 (CVE-Eintrag: 0 bis <= 1.2.7; Beschreibung: n/a bis 1.2.7, die untere Grenze ist unklar)
- Das Parent-Theme BusiProf ist nicht als betroffen bekannt.
Behoben in
Unbekannt. Es ist keine korrigierte Version bestätigt; Patchstack listet keinen offiziellen Patch.
Umgehung
- Es wurde keine Gegenmassnahme des Herstellers gefunden.
- Das Deaktivieren des Themes beseitigt das Risiko nicht, solange kein Virtual Patch eingesetzt wird.
- Anmeldungen von Administratoren einschränken und Administratoren verlangen, sich nach jeder Sitzung abzumelden.
Ausnutzung
- CVSS 8.8 (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H); Benutzerinteraktion ist erforderlich.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- Ein Aggregator meldet keine bekannte Ausnutzung (keine Primärquelle). Es wurde kein öffentlicher Proof of Concept gefunden, die CVE wurde jedoch erst kürzlich veröffentlicht.
Unsere Empfehlung
- Alle Websites ermitteln, die vdequator verwenden, einschliesslich deaktivierter Kopien, und die installierte Version erfassen.
- Das Patchstack-Advisory und die Website von webriti auf eine korrigierte Version prüfen und bei Verfügbarkeit aktualisieren.
- Falls kein Fix existiert, das Theme durch ein gepflegtes Alternativ-Theme ersetzen und nicht benötigte Kopien entfernen.
- Bis dahin Administrator-Anmeldungen einschränken, Abmeldung nach jeder Nutzung verlangen und den NVD-Eintrag prüfen, der aktuell den Status Deferred hat.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE record (Patchstack CNA) www.cve.org
- Patchstack advisory patchstack.com
- Threat intel mirror cve.threatint.com
- Aggregator: exploitation and affected table radar.offseq.com
- WordPress.org theme page wordpress.org
- webriti free WordPress themes webriti.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 15:24.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.