Community Events: Unauthentifiziertes Stored Cross-Site Scripting über Eventformular
Zusammenfassung
Das WordPress-Plugin Community Events prüft bei öffentlichen Eventeinreichungen weder Berechtigungen noch Nonces und maskiert mehrere übermittelte Werte nicht. Ein nicht authentifizierter Angreifer kann ein Event mit schädlichem Skript einreichen, das gespeichert wird und im Browser eines Administrators ausgeführt wird, der die Einreichung prüft. Die Quellen widersprechen sich bezüglich der unteren Grenze des betroffenen Bereichs.
Betroffen
- Community Events WordPress-Plugin, Versionen 1.4.9 bis vor 1.6.0 (VulDB nennt bis 1.5.x; im WPScan-Advisory prüfen)
Behoben in
- Version 1.6.0 oder neuer (Changelog-Eintrag: "Fixed potential security issue")
Umgehung
- Bis zur Behebung den Zugriff auf das Eventformular und die Admin-Eventseiten auf vertrauenswürdige Benutzer beschränken.
- Kein vom Hersteller dokumentierter Workaround gefunden; dies ist eine Empfehlung Dritter.
Ausnutzung
- Eine Ausnutzung in freier Wildbahn ist nicht bekannt.
- Kein öffentlicher Exploit in Metasploit oder Exploit-DB gefunden.
- Nicht in der CISA KEV gelistet. CISA SSVC: Exploitation none, Automatable no.
Unsere Empfehlung
- Standorte mit installiertem Community Events identifizieren und auf Versionen unter 1.6.0 prüfen.
- Auf Version 1.6.0 oder neuer aktualisieren.
- Bis zur Aktualisierung den Zugriff auf die Admin-Eventseiten einschränken und Administratoren anweisen, bei Eventeinreichungen vorsichtig zu sein.
- Das WPScan-Advisory und die NVD prüfen, sobald die NVD-Analyse abgeschlossen ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability record wpscan.com
- Community Events on WordPress.org wordpress.org
- VulDB entry CVE-2026-86794 vuldb.com
- OffSeq Radar threat entry radar.offseq.com
- CVE aggregator entry cve.threatint.com
- GitHub CVE tracker issue github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:23.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.