🟠 CVE-2026-10734: High Schwachstelle

„`html

Zusammenfassung

Das Infility Global Plugin für WordPress weist eine Stored Cross-Site Scripting (XSS) Schwachstelle im /cf7_record Log Endpoint auf. Die Anfälligkeit besteht in allen Versionen bis einschließlich 2.15.21 und ermöglicht es unauthentizierten Angreifern, beliebige Web-Skripte in die Anwendung einzuschleusen. Diese werden bei jedem Zugriff auf die betroffene Seite durch authentifizierte Benutzer ausgeführt.

Betroffene Systeme

Betroffen sind Installationen des Infility Global WordPress Plugins in den Versionen:

• Version 2.15.21 und älter
• Alle vorangegangenen Versionen

Die Sicherheitslücke gefährdet primär WordPress-Instanzen mit aktiviertem Infility Global Plugin, unabhängig von der verwendeten WordPress-Core-Version.

Technische Details

Die Schwachstelle liegt in unzureichender Input-Validierung und Output-Escaping am /cf7_records Endpoint. Angreifer können manipulierte Daten über diesen Endpunkt einschleusen, die als persistent gespeicherte XSS-Payload fungieren.

Kritisch ist die Zugänglichkeit für authentifizierte Benutzer: Der /cf7_records Viewer ist für jeden angemeldeten Benutzer, einschließlich solcher mit Subscriber-Level Rechten, erreichbar. Dies ermöglicht es Angreifern, Payloads einzuschleusen, die bei jedem Seitenaufruf durch beliebige angemeldete Benutzer ausgeführt werden.

Der Angriffsablauf: 1) Angreifer identifiziert verwundbare Instanz, 2) Einschleusung von JavaScript-Payloads über Log-Eingabefelder, 3) Payload-Ausführung bei Admin- oder Benutzer-Zugriff auf Records-Seite.

Empfohlene Massnahmen

• Plugin deaktivieren und deinstallieren bis Patch verfügbar ist
• Betroffene WordPress-Instanzen auf Hinweise von XSS-Attacken prüfen
• Security-Audit der Plugin-Aktivität durchführen
• Content Security Policy (CSP) implementieren als zusätzliche Schutzmaßnahme
• Regelmäßige Sicherheitsupdates und Plugin-Monitoring durchführen

Bewertung

Mit CVSS 7.2 (High) und fehlender Patch-Verfügbarkeit stellt diese Schwachstelle ein erhebliches Risiko dar. Die niedrige Einstiegshürde (unauthentifizierte Injection, aber authentifizierte Ausführung) und breite Auswirkung auf angemeldete Benutzer erfordern sofortige Maßnahmen.

„`