Topcontent WordPress-Plugin: Unauthentifiziertes Stored Cross-Site Scripting
Zusammenfassung
Das Topcontent WordPress-Plugin bis und mit Version 1.2.1 autorisiert einen seiner Request-Handler nicht korrekt und deaktiviert die HTML-Bereinigung, bevor übermittelte Inhalte gespeichert werden. Ein nicht authentifizierter Angreifer kann auf Websites, auf denen der API-Schlüssel des Plugins nie konfiguriert wurde, Beiträge mit schädlichem JavaScript veröffentlichen. Besucher, die den manipulierten Beitrag öffnen, was eine Benutzerinteraktion voraussetzt, können Skripte im Browser ausführen lassen, und zwar im Kontext der betroffenen Website.
Betroffen
- Topcontent WordPress-Plugin, Versionen 0 bis 1.2.1
- Betroffen nur auf Websites, auf denen der API-Schlüssel nie konfiguriert wurde, gemäss Schwachstellenbeschreibung
Behoben in
Unbekannt. WPScan nennt keine bekannte Korrektur; ein Herstellerhinweis oder eine korrigierte Version wurde nicht gefunden.
Umgehung
- Keine verifizierte Gegenmassnahme bekannt.
- Plugin deaktivieren und entfernen, falls es nicht benötigt wird.
- Eine Web Application Firewall oder ein virtueller Patch kann als temporäre Massnahme in Betracht gezogen werden.
- Ein konfigurierter API-Schlüssel gilt nicht als Schutz, solange dies nicht vom Hersteller bestätigt ist.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Nicht in der CISA KEV gelistet. EPSS etwa 0.17%.
- VulDB meldet keinen verfügbaren Exploit. Der Status eines öffentlichen Proof of Concept ist unverifiziert.
- Keine bekannte Ausnutzung in freier Wildbahn.
Unsere Empfehlung
- Alle WordPress-Websites inventarisieren und prüfen, ob das Topcontent-Plugin installiert ist.
- Plugin entfernen, wo es nicht benötigt wird.
- Wo es benötigt wird, den Status des API-Schlüssels prüfen und kürzlich veröffentlichte Beiträge auf unerwartete Autoren, Skripte oder eingeschleuste HTML-Inhalte kontrollieren.
- Herstellerseiten und WPScan auf eine korrigierte Version überwachen und nach Verfügbarkeit umgehend aktualisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability entry CVE-2026-88903 wpscan.com
- OpenCVE CVE-2026-88903 app.opencve.io
- VulDB entry 416528 vuldb.com
- Topcontent WordPress plugin vendor page topcontent.com
- Patchstack via Vulners vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:37.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.