Kubio AI Page Builder: Gespeichertes Cross-Site Scripting ohne Authentifizierung
Zusammenfassung
Das WordPress-Plugin Kubio AI Page Builder vor Version 2.9.3 wendet eine erweiterte Liste erlaubter HTML-Elemente auch auf Inhalte an, die nicht angemeldete Benutzer übermitteln, und nicht nur im Editor. Ein nicht authentifizierter Angreifer kann dadurch schädlichen Code speichern, den das Plugin anschliessend im Browser jedes Besuchers ausführt, einschliesslich eines Administrators, der die ausstehende Übermittlung prüft. Der Angriff erfordert eine Interaktion des Benutzers (UI:R) und betrifft Websites, die öffentliche Übermittlungen wie Kommentare akzeptieren.
Betroffen
- Plugin Kubio AI Page Builder für WordPress, alle Versionen vor 2.9.3 (Herstellerangabe gemäss Freshysites und VulDB: bis einschliesslich 2.9.2)
Behoben in
- Behoben in Version 2.9.3
- Das Änderungsprotokoll auf WordPress.org nennt zudem 2.9.4 und 2.9.4-pro mit weiteren XSS-Korrekturen. Verwenden Sie Version 2.9.4 oder neuer.
Umgehung
Unbekannt. Es wurde keine vom Hersteller dokumentierte Übergangslösung gefunden. Das Aktualisieren ist die Massnahme.
Ausnutzung
- In den Quellen wurde kein Nachweis einer Ausnutzung in freier Wildbahn gefunden.
- CISA-SSVC-Bewertung: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Öffentlicher Proof of Concept: Unbekannt.
- Ein Drittanbieter-Aggregator führt den Eintrag als nicht im KEV-Katalog; dies wurde nicht auf cisa.gov bestätigt.
Unsere Empfehlung
- Ermitteln Sie alle WordPress-Websites mit Kubio und prüfen Sie die installierte Version.
- Aktualisieren Sie auf Version 2.9.4 oder neuer, mindestens auf 2.9.3, und überprüfen Sie die Version auf jeder Website.
- Prüfen Sie ausstehende Kommentare und Übermittlungen auf verdächtigen Code. Beschränken Sie das Übermitteln von Kommentaren, wo praktikabel.
- Schützen Sie Administratorkonten und überprüfen Sie diese. Erwägen Sie einen stärkeren Schutz der Sitzungen.
- Überwachen Sie den NVD-Eintrag, da die Analyse zum Zeitpunkt der Recherche noch ausstand.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan: Kubio AI Page Builder < 2.9.3 Unauthenticated Stored XSS wpscan.com
- WordPress.org: Kubio AI Page Builder plugin (changelog) wordpress.org
- Freshysites security bulletin CVE-2026-88783 freshysites.com
- VulDB: CVE-2026-88783 vuldb.com
- Strix: CVE-2026-88783 www.strix.ai
- Rapid7 Vulners: CVE-2026-88783 vulners.com
- Positive Technologies Vulners: PT-2026-104528 vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:40.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.