Adwised Web Push Notification WordPress-Plugin: Unauthentifiziertes gespeichertes XSS
Zusammenfassung
Das Plugin Adwised Web Push Notification für WordPress bis einschliesslich Version 2.5.7 führt bei mehreren zustandsändernden Operationen keine Berechtigungsprüfungen durch. Der Vergleich des geheimen Schlüssels kann auf Installationen umgangen werden, auf denen der geheime Schlüssel nie gesetzt wurde. Ein nicht angemeldeter Angreifer kann dadurch beliebiges JavaScript speichern, das im Browser jedes Website-Besuchers ausgeführt wird.
Betroffen
- Plugin Adwised Web Push Notification für WordPress, Versionen bis einschliesslich 2.5.7
- Standardkonfiguration (geheimer Schlüssel nie gesetzt) ist die Bedingung für die Umgehung; der Standardstatus ist sonst unbekannt.
Behoben in
Unbekannt. WPScan listet keine bekannte Korrektur. VulDB verweist auf Version 2.5.8 oder neuer, dies konnte jedoch nicht gegen den Hersteller oder das WordPress.org-Changelog verifiziert werden.
Umgehung
- Plugin deaktivieren und entfernen, falls es nicht zwingend benötigt wird.
- Ein starker geheimer Schlüssel kann gesetzt werden, es gibt jedoch keine Quelle, die bestätigt, dass dies das Problem behebt; die Massnahme ist daher nicht getestet.
- VulDB empfiehlt, Web-Push-Benachrichtigungen zu deaktivieren, falls sie für den Geschäftsbetrieb nicht benötigt werden; dies ist eine Empfehlung eines Drittanbieters und keine offizielle Aussage des Herstellers.
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn. Die CVE ist nicht im CISA KEV gelistet.
- CISA SSVC: Ausnutzung keine, automatisierbar nein.
- EPSS etwa 0,2 %.
- Ob ein öffentlicher Proof of Concept existiert, ist unklar; die WPScan-Seite sollte direkt geprüft werden.
Unsere Empfehlung
- Prüfen, ob das Plugin auf Ihren WordPress-Websites installiert und aktiv ist.
- Plugin deaktivieren und entfernen, falls es nicht zwingend benötigt wird; dies deckt auch die verwandte CVE-2026-87761 ab.
- Datenbank und Website-Templates auf unerwartete Script-Tags prüfen und Administratorkonten überprüfen.
- Hersteller und WordPress.org auf eine bestätigte korrigierte Version überwachen.
- Beachten, dass der CVSS-Wert umstritten ist (VulDB listet 4.3); die Priorisierung erfolgt anhand des NVD-Werts von 8.8.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability entry wpscan.com
- VulDB CVE-2026-87762 vuldb.com
- VulDB CVE-2026-87762 scoring entry vuldb.com
- OpenCVE CVE-2026-87762 app.opencve.io
- VulnCheck/Vulners Patchstack advisory vulners.com
- Adwised WordPress.org profile profiles.wordpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:41.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.