Complianz mit über 1 Million Installationen: zweite Lücke im Cookie-Blocker binnen eines Monats

Michael Dobler

Autor Dr. Web

16. Oktober 2026

3 Min. Lesezeit

Ein harmlos aussehender Blogkommentar konnte auf WordPress-Sites mit dem Cookie-Plugin Complianz zu Schadcode werden, der im Browser jedes Besuchers läuft. Version 7.5.6 vom 13. Oktober schließt die Lücke, Wordfence hat sie am 15. Oktober öffentlich gemacht. Für das Plugin mit über 1 Million Installationen ist es die zweite Lücke dieser Art binnen eines Monats.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Complianz blendet das Cookie-Banner ein und hält Dienste wie YouTube-Videos zurück, bis Besucher zustimmen. Gemeldet wurde die Lücke unter dem Pseudonym theviper17y. Wordfence führt sie als CVE-2026-97339 und stuft sie als hoch ein.^[1]

Das Wichtigste in Kürze

CVE-2026-97339 betrifft Complianz bis 7.5.5, behoben ist sie in 7.5.6 (CVSS 3.1: 7,2, vergeben von Wordfence).
Angreifer brauchen kein Konto, ihr Kommentar muss aber freigeschaltet sein.
Ausnutzbar ist die Lücke laut Quellcode nur, wenn zusätzlich das Video-Plugin YotuWP läuft.
Das Update enthält zwei weitere Sicherheitskorrekturen und ist damit für alle Complianz-Sites Pflicht.

Wie wird aus einem Kommentar Schadcode?

Absperrpfosten mit orangem Seil, Schild — Complianz-Cookie-Blocker ersetzt eingebettete Videos durch Platzhalter und tauscht Playlist-Textstellen aus, bevor die HTML-Seite lädt

Damit vor der Einwilligung nichts nachlädt, fängt der Cookie-Blocker von Complianz die fertige HTML-Seite ab und schreibt sie um: Eingebettete Videos ersetzt er durch Platzhalter. Für Playlists des Plugins YotuWP tauschte er bis Version 7.5.5 Textstellen per einfacher Zeichenersetzung aus, ohne zu prüfen, wo sie im Code stehen.^[2] Zu diesem Zeitpunkt enthält die Seite bereits die Kommentare der Besucher.

Laut Wordfence besteht ein präparierter Kommentar nur aus erlaubten HTML-Elementen und passiert so den Eingabefilter von WordPress. Erst die Umschreibung durch Complianz bricht ihn so auf, dass Skriptcode ausgeführt wird.^[1] Ruft ein angemeldeter Administrator die Seite auf, läuft das Skript mit seiner Sitzung. Der Filter greift nur, wenn YotuWP aktiv ist und Complianz YouTube blockiert.^[2] YotuWP kommt laut wordpress.org auf mehr als 10.000 Installationen.^[3] Angriffe sind bis zum 16. Oktober nicht bekannt, die Lücke steht auf der Stufe Patch verfügbar.

Am 17. September hatte Wordfence eine fast gleiche Lücke veröffentlicht, gemeldet unter demselben Pseudonym: CVE-2026-83561, ebenfalls über Kommentare ohne Anmeldung, ebenfalls CVSS 7,2. Dort lag der Fehler in der Umschreibung für Elementor-Seiten mit blockierten Twitter- oder Facebook-Inhalten, behoben ist er in 7.5.5.^[4]

Das Muster folgt aus der Bauweise. Ein Consent-Plugin bearbeitet die komplette Seite erst, nachdem WordPress die Eingaben gefiltert hat. Die Integrationsliste von Complianz 7.5.6 umfasst mehr als 100 Erweiterungen anderer Hersteller, für die das Plugin eigene Ersetzungsregeln mitbringt.^[2] Jede fehlerhafte Regel öffnet einen neuen Weg an diesem Filter vorbei. Ähnlich dienten bei W3 Total Cache dreimal binnen sieben Wochen Kommentare als Einfallstor. Ein anderes Consent-Plugin, WPLP Cookie Consent, erlaubte im September sogar die Übernahme ganzer Sites.

Complianz-Lücke CVE-2026-97339 im Steckbrief

Reichweite, Schwere und Zeitablauf, Stand 16. Oktober 2026

1 Mio.+

aktive Installationen von Complianz laut wordpress.org

7,2

Punkte nach CVSS 3.1 vergibt Wordfence, Angriff ohne Anmeldung

21 %

der Installationen liefen am 16. Oktober noch auf dem Zweig 7.4

10.000+

Installationen hat YotuWP, ohne das die neue Lücke nicht greift

Zwei Lücken im Cookie-Blocker binnen eines Monats

17. September

Erste Lücke

Wordfence veröffentlicht CVE-2026-83561, betroffen sind Elementor-Seiten bis 7.5.4

13. Oktober

Patch

Version 7.5.6 schreibt nur noch echte YotuWP-Elemente um

15. Oktober

Offenlegung

Wordfence veröffentlicht CVE-2026-97339 für alle Versionen bis 7.5.5

16. Oktober

NVD

Die US-Schwachstellendatenbank übernimmt die Lücke

Ein Consent-Plugin schreibt jede Seite um. Zweimal binnen eines Monats entstand genau dabei eine Lücke ohne Login.
Markus Seyfferth, Chefredakteur Dr. Web

Was sollten Betreiber jetzt tun?

Aktualisieren: Bringen Sie Complianz auf Version 7.5.6 oder neuer und prüfen Sie, ob automatische Plugin-Updates eingeschaltet sind.
Kommentare sichten: Läuft YotuWP oder Elementor mit, sehen Sie freigeschaltete Kommentare der letzten Wochen auf ungewöhnliches HTML durch.
Freigabe verschärfen: Schalten Sie Kommentare von Hand frei oder schließen Sie die Funktion, wo sie niemand nutzt.
Kundensites ordnen: Agenturen aktualisieren zuerst Installationen, auf denen Complianz zusammen mit YotuWP oder Elementor läuft.

Laut Changelog schließt 7.5.6 zudem eine Skript-Lücke im Dokument-Block und begrenzt Abfragen an einer öffentlichen Schnittstelle für Datenanfragen.^[5] Die DSGVO verpflichtet Betreiber, personenbezogene Daten nach dem Stand der Technik zu schützen (Art. 32).^[6] Das gilt auch für das Plugin, das die Einwilligung einholt. Weitere Grundregeln bündelt der Ratgeber zur WordPress-Sicherheit, und Managed-Hoster aus dem WordPress-Hosting-Vergleich spielen Plugin-Updates oft selbst ein.

Was ist Complianz?

Complianz ist ein WordPress-Plugin für Cookie-Banner und Einwilligungen. Es blendet das Banner ein, blockiert Dienste wie YouTube oder Facebook bis zur Zustimmung und erstellt eine Cookie-Richtlinie. Laut wordpress.org läuft es auf mehr als 1 Million Websites.

Welche Version von Complianz ist sicher?

Sicher ist Version 7.5.6 vom 13. Oktober 2026 oder neuer. Alle Versionen bis einschließlich 7.5.5 enthalten die Lücke CVE-2026-97339. Welche Version installiert ist, zeigt die Plugin-Übersicht im WordPress-Dashboard.

Ist jede Website mit Complianz angreifbar?

Nein. Laut Quellcode greift die Lücke nur, wenn zusätzlich das Video-Plugin YotuWP aktiv ist und Complianz YouTube blockiert. Außerdem muss der präparierte Kommentar freigeschaltet sein. Das Update auf 7.5.6 behebt aber zwei weitere Sicherheitsfehler und betrifft damit alle Sites.

Wird die Lücke in Complianz schon ausgenutzt?

Bis zum 16. Oktober 2026 sind keine Angriffe bekannt. Die US-Behörde CISA führt die Lücke nicht in ihrem Katalog aktiv ausgenutzter Schwachstellen. Sie steht auf der Stufe Patch verfügbar.

Was ist Stored Cross-Site Scripting?

Beim Stored Cross-Site Scripting speichert ein Angreifer Skriptcode dauerhaft auf einer Website, etwa in einem Kommentar. Jeder Browser, der die Seite lädt, führt den Code aus. Damit lassen sich Besucher umleiten oder Aktionen im Namen angemeldeter Nutzer auslösen.