Web Vitals Tracking WordPress-Plugin: Unauthentifizierte gespeicherte XSS über Metrikname
Zusammenfassung
Das WordPress-Plugin Web Vitals Tracking bis Version 5.4.2 validiert und escaped Performance-Messungen nicht, die von nicht angemeldeten Besuchern übermittelt werden. Die gespeicherten Daten werden auf einer Administrationsseite in einem Script-Kontext ausgegeben. Ein nicht authentifizierter Angreifer kann dadurch JavaScript einschleusen, das im Browser eines Administrators ausgeführt wird, der diese Seite aufruft. Dies kann zur Kompromittierung der WordPress-Sitzung des Administrators führen.
Betroffen
- WordPress-Plugin Web Vitals Tracking (Slug web-vitals-tracking), alle Versionen bis und mit 5.4.2
Behoben in
- Unbekannt. WPScan führt den Status als "No known fix".
Umgehung
- Unbekannt. Im CVE-Eintrag und im WPScan-Eintrag ist kein Workaround dokumentiert.
Ausnutzung
- Keine Hinweise auf eine aktive Ausnutzung gefunden. Die CVE ist nicht im KEV-Katalog der CISA aufgeführt.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- EPSS 0.00185 (laut PT-2026-110043).
- Öffentlicher Proof of Concept: unklar.
Unsere Empfehlung
- Plugin deaktivieren und entfernen, falls es nicht benötigt wird. Dies ist die einzige bekannte vollständige Massnahme.
- Falls das Plugin verbleiben muss, WordPress-Administratorkonten auf vertrauenswürdige Mitarbeitende beschränken und starke Authentisierung für Admins erzwingen.
- Administrationsseiten des Plugins und gespeicherte Tracking-Daten auf unerwartete Inhalte prüfen.
- WordPress-Core und andere Plugins aktuell halten und den WPScan-Eintrag auf einen Fix überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability entry wpscan.com
- OpenCVE CVE-2026-87760 app.opencve.io
- VulDB CVE-2026-87760 vuldb.com
- WordPress.org plugin page wordpress.org
- Vulners PT-2026-110043 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:40.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.