KeyWord Collector WordPress-Plugin: Nicht authentifizierte gespeicherte XSS über Einstellungen
Zusammenfassung
Das WordPress-Plugin KeyWord Collector bis Version 1.4 prüft beim Speichern seiner Einstellungen weder Berechtigungen noch Nonces und maskiert die Einstellungen bei der Ausgabe nicht. Ein nicht authentifizierter Angreifer kann bösartiges JavaScript speichern, das ausgeführt wird, wenn ein Administrator die Einstellungsseite des Plugins öffnet oder ein Besucher eine Seite mit der Ausgabe des Plugins lädt. Der Angriff erfordert eine Benutzerinteraktion, der CVSS-Basiswert beträgt 8.8.
Betroffen
- KeyWord Collector WordPress-Plugin, alle Versionen bis und mit 1.4
Behoben in
- Unbekannt. Es ist keine korrigierte Version bekannt; WPScan führt "No known fix".
Umgehung
- Kein Workaround des Herstellers bekannt.
- Plugin deaktivieren und entfernen, falls es nicht benötigt wird.
- Gespeicherte Plugin-Einstellungen auf unerwartete Skripte prüfen.
- Administratoren-Anmeldungen auf vertrauenswürdige Netzwerke beschränken.
Ausnutzung
- Keine Ausnutzung in freier Wildbahn bekannt.
- Nicht in der CISA-KEV-Liste; CISA-SSVC bewertet die Ausnutzung als none und die Automatisierbarkeit als no.
- Öffentlicher Proof of Concept: nicht verifiziert.
- EPSS etwa 0.17%.
Unsere Empfehlung
- Prüfen, ob auf Websites das Plugin KeyWord Collector in Version 1.4 oder älter eingesetzt wird.
- Plugin auf Websites deaktivieren und entfernen, die es nicht benötigen.
- Falls es bleiben muss, gespeicherte Einstellungen auf eingeschleustes Skript prüfen und den Administratorzugriff einschränken.
- Die Plugin-Seite auf WordPress.org und die Herstellerangaben auf ein Update überwachen und dieses nach Verfügbarkeit einspielen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan: KeyWord Collector <= 1.4 - Unauthenticated Stored XSS wpscan.com
- VulDB: CVE-2026-88905 vuldb.com
- OpenCVE: CVE-2026-88905 app.opencve.io
- Vulners VulnRichment: CVE-2026-88905 vulners.com
- WordPress.org plugin listing: KeyWord Collector wordpress.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 20:37.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.