BuddyPress Instant Chat: Unauthentifiziertes gespeichertes Cross-Site Scripting über Chat-Nachricht
Zusammenfassung
Das WordPress-Plugin BuddyPress Instant Chat bis einschliesslich Version 1.6 prüft nicht, ob der Absender einer Nachricht zur Konversation gehört, in die sie eingefügt wird, und maskiert Nachrichteninhalte bei der Ausgabe nicht. Ein nicht angemeldeter Angreifer kann dadurch Skripte speichern, die im Browser jedes Mitglieds ausgeführt werden, das die Konversation später anzeigt. Für den Angriff muss das Opfer die betroffene Konversation öffnen; am gravierendsten wirkt sich dies aus, wenn ein Administrator einen manipulierten Chat betrachtet.
Betroffen
- BuddyPress Instant Chat Plugin, alle Versionen bis und mit 1.6
- Entwickler laut Angaben: richardphelps; letzte Veröffentlichung aus dem Jahr 2016
Behoben in
Unbekannt. Keine korrigierte Version identifiziert.
Umgehung
- Keine Schutzmassnahme des Herstellers gefunden.
- Plugin deaktivieren und entfernen, sofern der Chat nicht geschäftskritisch ist.
- Falls es verbleiben muss, die Nutzung auf vertrauenswürdige Benutzer beschränken, bestehende Chat-Inhalte prüfen und bereinigen sowie eine strikte Content Security Policy anwenden.
Ausnutzung
- CVSS 8.8 (AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H); Benutzerinteraktion ist erforderlich.
- CISA SSVC: Ausnutzung none, automatisierbar no.
- Nicht in CISA KEV aufgeführt.
- EPSS etwa 0.17%.
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; Status eines öffentlichen PoC unklar.
Unsere Empfehlung
- Alle WordPress-Seiten auf das Plugin bp-instant-chat und Version 1.6 oder älter prüfen.
- Bei Installation auf einer öffentlichen Seite das Plugin mit hoher Priorität deaktivieren und entfernen.
- Falls eine Entfernung nicht möglich ist, die Nutzung einschränken, bestehende Chat-Inhalte prüfen und eine strikte Content Security Policy anwenden.
- Das Plugin durch eine gewartete Chat- oder Messaging-Lösung ersetzen.
- Auf verdächtige Chat-Inhalte und unerwartete Administrator-Sitzungen achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability record wpscan.com
- OpenCVE CVE-2026-87764 app.opencve.io
- Vulners NVD CVE-2026-87764 vulners.com
- Patchstack advisory PATCHSTACK:93C00679A195FA72B18FB47D32A3E1DD vulners.com
- WordPress.com plugin listing bp-instant-chat wordpress.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:41.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.