CVE-2026-12978 High CVSS 7.1/10

🟠 CVE-2026-12978: High Schwachstelle

CVE-2026-12978
7.1/10
High
Nein
Various
Network

„`html

Zusammenfassung

Die Sicherheitslücke CVE-2026-12978 betrifft das FunnelKit WordPress-Plugin in Versionen vor 3.15.0.6. Das Schwachstellenpotenzial liegt bei 7.1 (CVSS High) und ermöglicht unauthentifizierten Angreifern die Durchführung von Reflected Cross-Site Scripting (XSS) Attacken gegen angemeldete WordPress-Benutzer. Die Vulnerabilität manifestiert sich über einen Page-Builder AJAX-Endpunkt und erfordert die aktive Divi Builder Installation.

Betroffene Systeme

  • FunnelKit WordPress Plugin Version < 3.15.0.6
  • Installationen mit aktivem Divi Builder
  • WordPress-Systeme mit registrierten Benutzern

Technische Details

Das Sicherheitsrisiko resultiert aus unzureichender Output-Filterung (fehlende HTML-Escaping) eines benutzergesteuerten Parameters. Der Parameter wird direkt in die HTML-Response eines AJAX-Action-Handlers des Page-Builders reflektiert, ohne vorherige Sanitisierung.

Die anfällige AJAX-Action wird nur registriert, wenn der Divi Builder aktiv ist. Ein Angreifer kann eine manipulierte URL mit JavaScript-Payload konstruieren und diese an authentifizierte Benutzer versenden. Öffnet das Ziel die Seite, führt der Browser das injizierte Skript im Sicherheitskontext des legitimen Benutzers aus.

Mögliche Konsequenzen: Session-Hijacking, Credential-Harvesting, Admin-Account-Übernahme oder Installation von Malware-Plugins.

Empfohlene Massnahmen

  • Sofortige Aktion: FunnelKit Plugin auf Version ≥ 3.15.0.6 aktualisieren
  • Deaktivierung: Bei Updateverzögerung temporär das Plugin deaktivieren
  • WAF-Konfiguration: Web Application Firewall Rules für XSS-Pattern aktivieren
  • Audit: Logs auf verdächtige AJAX-Requests prüfen
  • User-Sensibilisierung: Vorsicht vor verdächtigen Links warnen

Bewertung

Die Vulnerabilität wird als High-Severity klassifiziert. Das Angriffsvektor ist Network-basiert ohne Authentifizierung erforderlich. Der CVSS-Score von 7.1 reflektiert erhebliche Risiken für WordPress-Installationen mit Divi Integration. Ein funktionierendes Patch existiert bereits; schnelle Deployment-Priorisierung wird empfohlen.

„`

📷 Social Media Hashtags Instagram & Facebook
🔗 https://huntingthreats.de/%f0%9f%9f%a0-cve-2026-12978-high-schwachstelle/ #CVE #Vulnerability #CyberSecurity #ITSecurity #ZeroDay #Patch #InfoSec #CyberThreats #HuntingThreats #Cybersicherheit
💡 Tipp: Auf Instagram 10-15 Hashtags posten • Auf Facebook nur 3-5 verwenden
🛒

Empfohlene Security-Tools

* Affiliate-Links
🔑 Empfohlen
YubiKey Security Key NFC
Hardware-Sicherheitsschlüssel für Zwei-Faktor-Authentifizierung. Schützt Accounts selbst bei gestohlenen Passwörtern.
ab 29,00 € Amazon →
🛡 Netzwerk
GL.iNet GL-MT3000 Reise-Router
VPN-fähiger Pocket-Router mit WiFi 6. Schützt dein Netzwerk unterwegs und zu Hause vor Angriffen.
ab 69,00 € Amazon →
📘 Buch
Hacking & Cyber Security mit KI
Prompt Engineering, Phishing, Pentesting mit ChatGPT. Perfekt für IT-Security Einsteiger und Profis.
ab 24,99 € Amazon →
💻 Buch
Ethical Hacking - Das grosse Buch
Hacking mit Python Schritt für Schritt erklärt. Verstehe wie Angreifer denken und schütze deine Systeme.
ab 39,99 € Amazon →
🐍 Buch
Python für Einsteiger
Programmieren lernen mit Python - Schritt für Schritt zum Python-Profi. Ideal für Security Automation.
ab 29,99 € Amazon →

* Als Amazon-Partner verdiene ich an qualifizierten Käufen. Diese Links helfen dabei, HuntingThreats kostenlos zu betreiben.

Automatisch aggregiert von HuntingThreats am 18.07.2026
Alle CVEs ansehen