Shk Corporate WordPress-Theme: Cross-Site Request Forgery im Theme
Zusammenfassung
Das WordPress-Theme Shk Corporate bis einschliesslich Version 2.4.3 ist anfällig für Cross-Site Request Forgery (CSRF). Ein Angreifer kann eine präparierte Webseite erstellen, die einen angemeldeten Administrator oder Redakteur dazu bringt, unbeabsichtigte Aktionen auf der WordPress-Website auszuführen, etwa Einstellungen oder Passwörter zu ändern. Der Angriff setzt voraus, dass das Opfer die Seite des Angreifers während einer aktiven Anmeldung besucht; eine korrigierte Version ist noch nicht veröffentlicht.
Betroffen
- webriti Shk Corporate WordPress-Theme, Versionen bis einschliesslich 2.4.3
- Das Parent-Theme Appointment ist von dieser CVE nicht betroffen
Behoben in
Unbekannt. Weder der Hersteller noch Patchstack haben eine korrigierte Version bestätigt. Die aktuelle Version 2.4.3 auf WordPress.org ist vermutlich weiterhin betroffen.
Umgehung
- Keine vom Hersteller bestätigte Massnahme verfügbar.
- Beim Surfen auf anderen Seiten aus dem WordPress-Admin abmelden; für Administrationsarbeiten ein separates Browserprofil verwenden.
- Zugriff auf den Admin-Bereich wo möglich per IP-Adresse oder VPN einschränken.
- Eine WAF oder einen Dienst für virtuelles Patching in Betracht ziehen.
Ausnutzung
- Nach aktuellem Stand nicht bekannt, dass die Lücke aktiv ausgenutzt wird.
- Kein öffentlicher Proof of Concept, kein Metasploit-Modul und kein Nuclei-Template gefunden.
- Patchstack stuft die Priorität als niedrig ein; CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Prüfen, ob das Theme Shk Corporate installiert ist und welche Version aktiv ist.
- Administrator-Sitzungen einschränken: nach Administrationsarbeiten abmelden und in derselben Sitzung keine anderen Seiten besuchen.
- Auf eine korrigierte Version oder eine Herstellerwarnung achten und sofort aktualisieren, sobald eine verfügbar ist.
- Falls das Theme nicht benötigt wird, durch ein gewartetes Theme ersetzen.
- WordPress-Core sowie alle übrigen Plugins und Themes aktuell halten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- CVE Record CVE-2026-125849 www.cve.org
- VulDB entry 435827 vuldb.com
- OffSeq Radar CVE-2026-125849 radar.offseq.com
- WordPress.org theme listing Shk Corporate wordpress.org
- ThemeDetect Shk Corporate www.themedetect.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 15:21.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.