webriti Appointment Dark: Cross-Site Request Forgery (CSRF) im WordPress-Theme
Zusammenfassung
Das WordPress-Theme webriti Appointment Dark ist bis und mit Version 1.3.4 von Cross-Site Request Forgery (CSRF) betroffen. Ein Angreifer kann einen eingeloggten Benutzer mit Rechten auf der Website zu einer präparierten Seite locken, die in dessen Namen ungewollte Aktionen auslöst, etwa das Ändern von Einstellungen oder Passwörtern. Der Angreifer benötigt keine Authentifizierung, das Opfer muss jedoch eingeloggt sein und die bösartige Seite besuchen. Eine Herstellerpatch ist nicht bekannt, und Patchstack empfiehlt, das Theme zu entfernen.
Betroffen
- Theme Appointment Dark (WordPress), Versionen bis und mit 1.3.4
- Untere Grenze des betroffenen Bereichs unklar (je nach Quelle als 0 oder n/a angegeben)
Behoben in
Unbekannt. Keine korrigierte Version oder Herstellerhinweis gefunden. 1.3.4 ist die neueste auf WordPress.org aufgeführte Version.
Umgehung
- Der Hersteller hat keine Workaround-Massnahme veröffentlicht.
- Nach der Administration bei WordPress abmelden und in derselben Sitzung keine anderen Seiten besuchen.
- Für die Administration ein separates Browser-Profil verwenden.
- Den Zugriff auf den Admin-Bereich nach Möglichkeit auf IP-Adressen oder ein VPN beschränken.
- Falls das Theme nicht benötigt wird, durch ein gewartetes Alternativ-Theme ersetzen.
Ausnutzung
- Nicht bekanntermassen in freier Wildbahn ausgenutzt.
- Kein öffentlich verfügbarer Exploit gefunden.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, totale technische Auswirkung.
- VulDB-Temporärbewertung: 4.3 (Medium). Bewertung durch Patchstack und die CNA: 8.8 (High, CVSS 3.1, UI:R).
Unsere Empfehlung
- Prüfen, ob das Theme Appointment Dark auf Ihren Websites installiert ist.
- Falls installiert, durch ein gewartetes Theme ersetzen, da keine Korrektur verfügbar ist.
- Bis dahin den Zugriff auf das Backend einschränken, die Anzahl Administrator- und Editor-Konten begrenzen und sich nach der Administration abmelden.
- Den Hersteller und die WordPress.org-Seite auf eine korrigierte Version überwachen und vor dem Schliessen dieses Eintrags nach neueren Versionen suchen.
- Die Priorität erhöhen, wenn die Website Buchungen oder Kundendaten verarbeitet.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory: Appointment Dark theme CSRF patchstack.com
- CVE Record CVE-2026-125850 www.cve.org
- VulDB entry 435821 vuldb.com
- OffSeq threat radar: CVE-2026-125850 radar.offseq.com
- WordPress.org: Appointment Dark theme wordpress.org
- webriti: Appointment Dark product page webriti.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 15:22.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.