LTL Freight Quotes Old Dominion Edition: Nicht authentifiziertes gespeichertes XSS über Versandregeln
Zusammenfassung
Das WordPress-Plugin LTL Freight Quotes – Old Dominion Edition vor Version 4.2.19 bereinigt und escaped über einen nicht authentifizierten Endpunkt übermittelte Werte nicht korrekt. Diese Werte werden gespeichert und in einer Administrationsseite ausgegeben. Ein nicht authentifizierter Angreifer kann so Skripte speichern, die in der Sitzung jedes Administrators ausgeführt werden, der die Seite aufruft. Dies kann zur Übernahme der WordPress-Website führen. Die Ausnutzung erfordert, dass ein Administrator die betroffene Seite aufruft.
Betroffen
- LTL Freight Quotes – Old Dominion Edition in Versionen vor 4.2.19
- Untere Grenze des betroffenen Bereichs: Unbekannt.
Behoben in
- Version 4.2.19
- Sicherheitshinweis des Herstellers: Unbekannt.
Umgehung
- Dem Hersteller ist keine Workaround-Lösung bekannt.
- Falls ein Update nicht sofort möglich ist, den Zugriff auf die Administrationsseiten des Plugins einschränken und gespeicherte Plugin-Einstellungen sowie Versandregel-Einträge auf eingeschleuste Skripte prüfen.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Öffentlicher Proof of Concept: Unbekannt (nicht bestätigt).
Unsere Empfehlung
- LTL Freight Quotes – Old Dominion Edition auf Version 4.2.19 oder neuer aktualisieren.
- Falls ein Update nicht sofort möglich ist, den Zugriff auf die Administrationsseiten des Plugins einschränken.
- Gespeicherte Plugin-Einstellungen und Versandregel-Einträge auf eingeschleuste Skripte prüfen und Administratorkonten auf unerwartete Änderungen kontrollieren.
- Prüfen, ob WooCommerce-Websites diese Edition verwenden, insbesondere für den US-Versand. Websites ohne dieses Plugin sind nicht betroffen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan: LTL Freight Quotes – Old Dominion Edition < 4.2.19 – Unauthenticated Stored XSS via Shipping Rules wpscan.com
- Patchstack: LTL Freight Quotes – Old Dominion Edition vulnerabilities patchstack.com
- VulDB: CVE-2026-87780 vuldb.com
- OpenCVE: CVE-2026-87780 app.opencve.io
- CVE Threat Intelligence: CVE-2026-87780 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:47.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.