🟡 CVE-2026-4334: Medium Schwachstelle

„`html

Zusammenfassung

Das WordPress-Plugin Shariff Wrapper ist in allen Versionen bis einschließlich 4.6.20 von einer Stored Cross-Site Scripting (XSS)-Schwachstelle betroffen. Die Vulnerability ermöglicht authentifizierten Angreifern mit Contributor-Rechten oder höher, beliebige JavaScript-Code in WordPress-Seiten einzuschleusen. Diese Skripte werden bei jedem Zugriff auf die betroffene Seite ausgeführt.

Betroffene Systeme

Das Shariff Wrapper Plugin für WordPress ist betroffen in den Versionen:

• Alle Versionen bis einschließlich 4.6.20

Betroffene WordPress-Installationen mit aktiviertem Plugin und Nutzern mit Contributor-Level oder höher.

Technische Details

Die Schwachstelle liegt in der unzureichenden Input-Sanitization des ‚headline‘-Parameters im [shariff] Shortcode. Das Plugin implementiert eine benutzerdefinierte wp_kses-Funktion mit permissiven HTML-Tag-Whitelist-Einstellungen.

Das kritische Problem entsteht durch folgende Ablauf:

1. Der ‚headline‘-Parameter wird mit einer zu großzügigen Sanitization verarbeitet
2. Eine str_replace-Operation injiziert nach der Sanitization zusätzliches HTML
3. Der %total-Platzhalter im style-Attribut ermöglicht die Einführung von Event-Handlern
4. Event-Handler (onclick, onload, etc.) werden nicht ordnungsgemäß escaped

Dies erlaubt Angreifern, Payload wie [shariff headline="text" style="background: url(); onclick=alert('XSS')"] einzuschleusen.

Empfohlene Massnahmen

• Plugin deaktivieren und deinstallieren, bis ein Patch verfügbar ist
• Benutzerrechte überprüfen: Contributor-Zugriff auf nicht-vertrauenswürdige Benutzer beschränken
• Content Security Policy (CSP) Header implementieren
• Regelmäßige Security-Audits durchführen
• WordPress-Admin-Logs auf verdächtige Shortcode-Modifikationen prüfen
• Alternative Plugins mit besserer Sicherheit evaluieren

Bewertung

CVSS 6.4 (Medium) – Die Schwachstelle erfordert authentifizierten Zugriff, was das Risiko reduziert. Jedoch können Contributor-Level-Konten in typischen WordPress-Umgebungen häufig vorhanden sein, was die praktische Ausnutzung begünstigt.

„`