webriti Leo-Theme: Cross-Site Request Forgery im WordPress-Theme
Zusammenfassung
Das Leo-Multipurpose-WordPress-Theme von webriti enthält eine Cross-Site Request Forgery (CSRF)-Schwachstelle in allen Versionen bis einschliesslich 1.7.4. Ein Angreifer kann eine präparierte Seite erstellen, die einen angemeldeten Benutzer dazu bringt, unbeabsichtigte Aktionen auf der Website auszuführen, etwa Einstellungen oder Passwörter zu ändern. Voraussetzung ist, dass ein privilegierter Benutzer eine vom Angreifer kontrollierte Seite besucht, und das Schadensausmass hängt von den Rechten des Opfer-Kontos ab, typischerweise eines Administrators.
Betroffen
- webriti Leo WordPress-Theme, alle Versionen bis einschliesslich 1.7.4
- Frühere Versionen ab 0 sind ebenfalls betroffen
Behoben in
Unbekannt. In den geprüften Quellen ist keine korrigierte Version veröffentlicht; 1.7.4 ist die neueste auf WordPress.org gelistete Version.
Umgehung
- Keine vom Hersteller veröffentlichte Massnahme.
- Administrator- und Editor-Konten einschränken.
- WordPress-Admin-Sitzungen beenden, bevor andere Websites besucht werden.
- Zwei-Faktor-Authentifizierung für WordPress-Admin-Anmeldungen erzwingen.
- Zugriff auf /wp-admin nach Möglichkeit auf IP-Adressen beschränken.
Ausnutzung
- Gemäss OffSeq nicht bekanntermassen in freier Wildbahn ausgenutzt.
- Soweit überprüft nicht im CISA KEV gelistet.
- VulDB meldet keinen verfügbaren Exploit; kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle Websites mit dem Leo-Theme in Version 1.7.4 oder tiefer identifizieren.
- Migration auf ein gepflegtes Theme planen, da der Hersteller wahrscheinlich keine Korrektur veröffentlicht.
- Bis dahin die Anzahl Administrator-Konten reduzieren, 2FA erzwingen und Administratoren anweisen, sich beim Besuch anderer Websites abzumelden.
- Prüfen, ob das übergeordnete Theme Wallstreet (CVE-2026-39718) oder andere webriti-Themes installiert und gepatcht sind.
- Patchstack-Eintrag und Hersteller auf eine korrigierte Version überwachen und zeitnah aktualisieren.
- Priorität: mittel bis hoch für Websites mit mehreren Administratoren oder Kundendaten; tiefer für Einzeladministrator-Websites mit 2FA.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- CVE Record CVE-2026-125848 www.cve.org
- VulDB entry 435828 vuldb.com
- OffSeq radar entry CVE-2026-125848 radar.offseq.com
- WordPress.org Leo theme listing wordpress.org
- Vulners PT-2026-104420 (Wallstreet CSRF) vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 15:21.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.