Joinchat: Reflected Cross-Site Scripting über die {HREF}-Variable

Zusammenfassung

Das WordPress-Plugin Joinchat (Enhanced click to chat, schwebende WhatsApp-Schaltfläche) prüft und escaped die Eingaben in der dynamischen Variable {HREF} nicht ausreichend. Ein nicht authentifizierter Angreifer kann einen präparierten Link erstellen, der beliebige Webskripte in Seiten einschleust, die im Browser eines Besuchers ausgeführt werden, der den Link anklickt. Voraussetzung ist, dass ein Administrator eine Telefonnummer konfiguriert hat und die Variable {HREF} im Call-to-Action-Text verwendet.

Betroffen

• Joinchat (WordPress-Plugin) Versionen 0 bis 6.3.1 (gemäss CVE-Eintrag)
• Standardkonfiguration: nicht betroffen, sofern die oben genannten Bedingungen nicht erfüllt sind

Behoben in

• Version 6.3.2 enthält eine Korrektur für diese XSS-Schwachstelle (gemäss Changelog des Herstellers; Diff nicht unabhängig geprüft)
• Version 6.4.2 oder neuer wird empfohlen, da eine separate gespeicherte XSS-Schwachstelle (CVE-2026-118071) die Versionen 6.3.2 bis 6.4.2 betrifft und in 6.4.2 behoben ist

Umgehung

• Auf Version 6.4.2 oder neuer aktualisieren (Korrektur des Herstellers)
• Bis zur Korrektur prüfen, ob der Call-to-Action-Text {HREF} enthält, und diese Variable entfernen, falls sie nicht benötigt wird
• Prüfen, ob die Telefonnummer-Einstellung dort verwendet wird, wo sie nicht nötig ist
• Eine Web Application Firewall kann helfen, Anfragen mit bekannten XSS-Mustern in Query-Parametern zu erkennen (allgemeine Empfehlung, nicht getestet)

Ausnutzung

• CISA KEV: nicht gelistet
• Öffentlicher Proof-of-Concept: keiner gefunden
• Ausnutzung in freier Wildbahn: keine Hinweise gefunden; Status unbekannt, da die CVE kürzlich veröffentlicht wurde

Unsere Empfehlung

• Prüfen, ob Joinchat auf Ihren WordPress-Websites installiert ist und welche Version aktiv ist
• Auf Version 6.4.2 oder neuer aktualisieren, nachdem die aktuell neueste Version auf wordpress.org bestätigt wurde
• Prüfen, ob der Call-to-Action-Text {HREF} verwendet und ob die Telefonnummer-Einstellung benötigt wird
• Öffentlich erreichbare Websites und Websites, auf denen Mitarbeitende den Admin-Bereich nutzen, priorisieren
• Nach der Aktualisierung auf ungewöhnliche Anmeldungen und Änderungen an Seiten achten

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-15785 www.cve.org
• Wordfence threat intelligence entry www.wordfence.com
• WordPress.org plugin listing (Joinchat changelog) wordpress.org
• Trac changeset 6.3.1 to 6.3.2 plugins.trac.wordpress.org
• VulDB CVE-2026-15785 vuldb.com
• VulDB vulnerability 435697 vuldb.com
• OffSeq Radar CVE-2026-118071 (related XSS) radar.offseq.com
• TheHackerWire CVE-2026-15785 www.thehackerwire.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 14:12.