WordPress-Plugin-Schwachstellen: 6 Plugins inklusive User Frontend

Zwischen dem 6. und 7. November 2026 wurden sieben Schwachstellen in sechs WordPress-Plugins bekannt gegeben. Die gravierendste ist eine fehlerhafte Berechtigungsprüfung in WP Data Access (CVSS 8.1), die Angreifern die Übernahme des Administratorkontos ermöglichen kann. Bei den übrigen sechs handelt es sich um gespeicherte Cross-Site-Scripting-Schwachstellen (XSS) mit CVSS 7.2, die von nicht angemeldeten Angreifern ausgenutzt werden können. Für keine davon wird eine aktive Ausnutzung berichtet.

WP Data Access (10.000 aktive Installationen)

Die Schreib-Endpunkte von WP Data Access erzwingen nicht die Zeilenfilter und Spaltenbeschränkungen, die für die Lese-Endpunkte gelten. Angemeldete Angreifer mit Zugriffsrechten ab Abonnent-Niveau können beliebige Zeilen und Spalten schreiben, einschließlich des Administratorpassworts in wp_users, und sich anschließend als Administrator anmelden. Die Ausnutzung setzt eine veröffentlichte Data App voraus, die Schreibtransaktionen für Abonnenten erlaubt. Gewährt eine solche App anonymen Zugriff, können auch nicht angemeldete Angreifer sie ausnutzen. Alle Versionen bis einschließlich 5.5.89 sind betroffen (CVE-2026-118267, CVSS 8.1). Bitte aktualisieren Sie auf die neueste Version.

User Frontend (20.000 aktive Installationen)

Das Plugin User Frontend (Membership, User Registration, User Profile, User Directory & Content Restriction with Frontend Post Submission) enthält eine gespeicherte XSS-Schwachstelle im Parameter für Taxonomiefelder, die nicht angemeldete Angreifer nutzen können, um Skripte in Seiten einzuschleusen. Die Ausnutzung setzt ein Taxonomiefeld im Texteingabemodus und aktivierte Gastbeitragseinreichung in mindestens einem Frontend-Formular voraus. Alle Versionen bis einschließlich 4.3.13 sind betroffen (CVE-2026-109214, CVSS 7.2). Bitte aktualisieren Sie auf die neueste Version.

WP Visitor Statistics (Real Time Traffic) (20.000 aktive Installationen)

Zwei gespeicherte XSS-Schwachstellen ermöglichen nicht angemeldeten Angreifern, über den öffentlichen Endpunct zur Besucherverfolgung Skripte einzuschleusen. Die Skripte werden im Browser des Administrators ausgeführt, wenn die Statistiken aufgerufen werden. CVE-2026-109230 (Parameter 'browser') betrifft Versionen bis einschließlich 8.7.1, und CVE-2026-111370 (Parameter 'os', 'browser' und 'res') betrifft Versionen bis einschließlich 8.9.0. Beide sind mit CVSS 7.2 bewertet. Bitte aktualisieren Sie auf die neueste Version, die neuer als 8.9.0 sein muss. Steht keine solche Version zur Verfügung, deaktivieren und entfernen Sie das Plugin.

GeoDirectory (10.000 aktive Installationen)

GeoDirectory – WP Business Directory Plugin and Classified Listings Directory enthält eine gespeicherte XSS-Schwachstelle im Parameter 'post_content'. Nicht angemeldete Angreifer können verschachtelte Shortcodes nutzen, um die Shortcode-Filterung des Plugins zu umgehen und Skripte einzuschleusen. Alle Versionen bis einschließlich 2.8.200 sind betroffen (CVE-2026-120082, CVSS 7.2). Bitte aktualisieren Sie auf die neueste Version.

Graphina – Charts and Graphs For Elementor (9.000 aktive Installationen)

Graphina enthält eine gespeicherte XSS-Schwachstelle in Diagrammeinstellungen wie der Schriftfamilie der Baumdiagramm-Knoten. Laut Sicherheitshinweis können nicht angemeldete Angreifer Skripte einschleusen, die die Bereinigung von Elementor nicht entfernt. Alle Versionen bis einschließlich 3.1.13 sind betroffen (CVE-2026-110291, CVSS 7.2). Bitte aktualisieren Sie auf die neueste Version.

Flying Images (2.000 aktive Installationen)

Flying Images: Optimize and Lazy Load Images for Faster Page Speed enthält eine gespeicherte XSS-Schwachstelle im Parameter 'comment', die nicht angemeldete Angreifer ausnutzen können. Bei den Standardeinstellungen muss ein erster Kommentar freigegeben werden, spätere Kommentare mit demselben Namen und derselben E-Mail-Adresse umgehen die Moderation jedoch. Das eingeschleuste Skript wird dann bei jedem Besucher ausgeführt, auch bei Administratoren. Alle Versionen bis einschließlich 2.4.15 sind betroffen (CVE-2026-119175, CVSS 7.2). Bitte aktualisieren Sie auf die neueste Version.

So prüfen Sie Ihre Websites

Öffnen Sie im WordPress-Dashboard jeder Website Plugins > Installierte Plugins und suchen Sie nach den oben genannten Plugins und deren Versionsnummern. Mit WP-CLI zeigt der Befehl "wp plugin list" die installierten Plugins, ihre Versionen und verfügbare Updates an. Anschließend aktualisieren Sie mit "wp plugin update ". Die Slugs lauten wp-data-access, wp-user-frontend, wp-stats-manager, geodirectory, graphina-elementor-charts-and-graphs und nazy-load. Ist für ein von Ihnen genutztes Plugin noch keine korrigierte Version verfügbar, deaktivieren und entfernen Sie es, bis ein Update veröffentlicht wird.

Quellen

• https://nvd.nist.gov/vuln/detail/CVE-2026-109214
• https://nvd.nist.gov/vuln/detail/CVE-2026-109230