„`html
Zusammenfassung
Die Sicherheitslücke CVE-2026-8865 betrifft das WordPress-Plugin „Avalon23 Products Filter for WooCommerce“ in allen Versionen bis einschließlich 1.1.6. Das Plugin ist anfällig für Stored Cross-Site Scripting (XSS) über die Shortcode-Attribute ‚title‘ und ‚fixed_link‘. Authentifizierte Benutzer mit Contributor-Rechten oder höher können dadurch beliebigen JavaScript-Code in WordPress-Seiten einschleusen.
Betroffene Systeme
Betroffen sind WordPress-Installationen mit aktiviertem Plugin „Avalon23 Products Filter for WooCommerce“ in den Versionen 1.0.0 bis 1.1.6. Das Risiko besteht unabhängig vom eingesetzten Betriebssystem oder der Server-Konfiguration, da die Anfälligkeit in der Plugin-Logik liegt.
Technische Details
Die Schwachstelle liegt in der Shortcode-Verarbeitung des Plugins. Die Funktion AVALON23_HELPER::draw_html_item() verarbeitet die Shortcode-Attribute ‚title‘ und ‚fixed_link‘ ohne ausreichende Eingabevalidierung oder Ausgabe-Escaping. Die Attribute werden direkt in einfach-angeführte HTML-Attribute konkateniert, ohne die Sicherheitsfunktion esc_attr() zu nutzen.
Ein Angreifer kann beispielsweise einen manipulierten Shortcode wie [avalon23_qr title=“test‘ onload=’alert(1)'“] verwenden. Beim Rendern der Seite wird das JavaScript ausgeführt. Dies erfolgt bei jedem Seitenaufruf durch reguläre Benutzer.
Empfohlene Massnahmen
- Sofortig: Plugin auf Version 1.1.7 oder höher aktualisieren, sofern verfügbar
- Mittel: Benutzerrechte überprüfen und einschränken – nur notwendige Contributor-Rechte vergeben
- Alternativ: Plugin deaktivieren und deinstallieren, falls keine Patch verfügbar ist
- Monitoring: Shortcode-Nutzung und Plugin-Logs überprüfen auf verdächtige Einträge
Bewertung
CVSS-Score: 6.4 (Medium) – Netzwerkbasierter Angriff mit hohem Integritätsrisiko. Das Fehlen eines Patches erhöht die Dringlichkeit von Mitigation-Maßnahmen erheblich.
„`