„`html

CVE-2026-6268: Reflected XSS in EventPress WordPress Theme

Zusammenfassung

Das WordPress Theme EventPress in Versionen vor 22.2 enthält eine Reflected Cross-Site Scripting (XSS) Sicherheitslücke. Die Schwachstelle ermöglicht es unauthentifizierten Angreifern, JavaScript-Code auszuführen, der im Kontext angemeldeter Benutzer ausgeführt wird. Die Lücke wird über den AJAX-Handler eventpress_customizer_notify_dismiss_action ausgelöst.

Betroffene Systeme

Produkt: EventPress WordPress Theme

Betroffene Versionen: Alle Versionen vor 22.2

Angriffsvektor: Network

Authentifizierung erforderlich: Nein (für Angreifer)

Technische Details

Die Sicherheitslücke liegt in der fehlenden Input-Validierung und Output-Escaping des Parameters id im AJAX-Handler eventpress_customizer_notify_dismiss_action. Der Parameter wird direkt in der Response ausgegeben, ohne zuvor bereinigt zu werden.

Ein Angreifer kann eine manipulierte URL mit eingebettetem JavaScript-Code erstellen und diese an angemeldete Benutzer verteilen. Bei Aufruf der URL wird der schädliche Code im Browser des Opfers ausgeführt, was Diebstahl von Session-Cookies, CSRF-Angriffe oder andere böswillige Aktionen ermöglicht.

Anfälliger Code-Bereich: AJAX Handler für Customizer-Benachrichtigungen

Empfohlene Massnahmen

• Sofort: EventPress Theme auf Version 22.2 oder höher aktualisieren
• Alle administrativen Benutzer informieren
• Web Application Firewall (WAF) aktivieren zur XSS-Filterung
• Content Security Policy (CSP) Header implementieren
• Regelmäßige Security-Audits durchführen
• WordPress Plugins und Themes auf Aktualität überprüfen

Bewertung

CVE-ID: CVE-2026-6268

CVSS v3.1 Score: 7.1 (High)

Verfügbarkeit von Patches: Ja – Version 22.2

Diese Sicherheitslücke sollte als hochrangig priorisiert werden, da sie eine direkte Auswirkung auf die Sicherheit angemeldeter Benutzer hat und ohne Authentifizierung ausgenutzt werden kann.

„`