HootBoard WordPress-Plugin: Unauthentifiziertes Stored Cross-Site Scripting
Zusammenfassung
Das WordPress-Plugin HootBoard bis Version 3.1.4 prüft bei einigen seiner REST-Endpunkte die Berechtigung nicht und maskiert gespeicherte Werte vor der Ausgabe auf öffentlichen Seiten nicht. Ein nicht angemeldeter Angreifer kann beliebige Skripte einschleusen, die im Browser jedes Besuchers ausgeführt werden, einschliesslich Administratoren. Für die Ausnutzung muss eine Person die manipulierte Seite aufrufen, und für das Plugin ist kein Fix bekannt.
Betroffen
- HootBoard WordPress-Plugin, alle Versionen bis 3.1.4
- Betroffene WordPress-Websites mit installiertem und aktiviertem Plugin
Behoben in
- Kein bekannter Fix.
Umgehung
- Plugin deaktivieren und entfernen.
- Falls das Plugin verbleiben muss, den Zugriff auf seine REST-Endpunkte auf Webserver- oder WAF-Ebene einschränken. Dies ist eine kompensierende Massnahme und kein Fix.
- Öffentliche Seiten mit HootBoard-Boards auf unerwartete Skriptinhalte prüfen und gespeicherte Einträge bereinigen.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Nicht im CISA-KEV-Katalog. EPSS etwa 0,18 % zum Zeitpunkt des GitHub-Alerts.
- Öffentlicher Proof of Concept: unklar, nicht bestätigt.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
Unsere Empfehlung
- WordPress-Websites mit HootBoard 3.1.4 oder älter identifizieren.
- Plugin entfernen, da kein Fix verfügbar ist und das Plugin offenbar nicht mehr gepflegt wird.
- Falls Bulletin-Board-Funktionalität benötigt wird, eine gepflegte Alternative einsetzen.
- Bestehende Inhalte auf eingeschleuste Skripte prüfen und Administratoren anweisen, sich abzumelden und ihre Admin-Konten zu überprüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability entry wpscan.com
- GitHub vulnerability alert CVE-2026-86798 github.com
- OpenCVE CVE-2026-86798 app.opencve.io
- VulDB CVE-2026-86798 vuldb.com
- Patchstack advisory via Vulners vulners.com
- Positive Technologies PT-2026-110042 vulners.com
- WordPress plugin page HootBoard wordpress.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:38.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.