„`html
Zusammenfassung
CVE-2026-8071 beschreibt eine Stored Cross-Site Scripting (XSS) Schwachstelle im WordPress-Plugin „Anti-Spam by CleanTalk“ in Versionen vor 6.79. Die Vulnerability ermöglicht unauthentifizierten Angreifern, beliebigen JavaScript-Code in genehmigten Kommentaren einzuschleusen, der bei der Anzeige durch Administrator und reguläre Benutzer ausgeführt wird.
Betroffene Systeme
- Anti-Spam by CleanTalk WordPress Plugin < 6.79
- Alle WordPress-Installationen mit aktiviertem Plugin
- Angriffsvektor: Netzwerk (unauthentifiziert erreichbar)
Technische Details
Die Schwachstelle liegt in der unzureichenden Validierung und Sanitization eines benutzerdefinierten Shortcodes innerhalb des Email-Encoding-Features. Der Shortcode verarbeitet Benutzereingaben, ohne diese ausreichend gegen XSS-Angriffe zu schützen. Angreifer können durch manipulierte Kommentare Schadcode einbetten. Da die Kommentare durch das System validiert werden, wird der Code als legitim markiert und persistiert in der Datenbank.
Beim Rendern der Kommentare wird der Shortcode-Inhalt ohne Content Security Policy oder zusätzliche Filterung ausgegeben, wodurch der JavaScript-Code im Browser des Betrachters ausgeführt wird.
Empfohlene Massnahmen
- Sofortmassnahme: Plugin aktualisieren auf Version 6.79 oder neuer
- Bei Verwendung älterer Versionen: Plugin temporär deaktivieren
- Bestehende Kommentare überprüfen und verdächtige Einträge entfernen
- WAF-Regeln implementieren zur Filterung verdächtiger Shortcode-Muster
- Regelmässige Sicherheits-Audits durchführen
Bewertung
CVSS Score: 8.8 (High) – Die hohe Bewertung reflektiert die breite Angreifbarkeit ohne Authentifizierung, die persistente Natur der Schwachstelle und das hohe Risiko für administrative Konten. Ein Patch steht derzeit nicht zur Verfügung.
„`