Beim WordPress-Plugin FooBox konnten präparierte Bildangaben Schadcode in Seiten einschleusen, der danach bei jedem Besucher im Browser lief. Auf einer Standardinstallation braucht der Angreifer dafür mindestens ein Mitwirkenden-Konto. Version 2.8.8 schließt die Lücke, das Plugin läuft auf mehr als 100.000 Websites.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenInhalt 5 Abschnitte
Wordfence hat die Sicherheitslücke CVE-2026-120687 im Plugin FooBox eingestuft, die NVD führt sie seit dem 14. November.[1] Laut wordpress.org läuft das Plugin des Herstellers FooPlugins auf mehr als 100.000 aktiven Installationen (Stand 14. November).[2] Wordfence vergibt 7,2 von 10 Punkten (CVSS 3.1, hoch). Betroffen sind alle Versionen bis 2.8.7, behoben ist die Lücke in Version 2.8.8 vom 7. November.[3]
Das Wichtigste in Kürze
- Der Fehler steckt im JavaScript der Lightbox (laut NVD eine „DOM-basierte“ Lücke). Der Schadcode bleibt in der Seite gespeichert.
- Die Bewertung von Wordfence führt den Angriff ohne Anmeldung, die Beschreibung verlangt dagegen mindestens ein Mitwirkenden-Konto. Mit installiertem Forum-Plugin bbPress genügt laut NVD ein Abonnenten-Konto.
- Das Update ist seit sieben Tagen verfügbar. Angriffe sind nicht bekannt, der CISA-Katalog enthält keinen Eintrag.
- Es ist die dritte Korrektur rund um Bildunterschriften seit Juli.
Wie kam der Code in die Seite?
FooBox öffnet Bilder in einer Lightbox und zeigt dort die Bildunterschrift an. Laut NVD-Eintrag liest das Plugin dafür Angaben aus dem Seiteninhalt und gibt sie ungenügend bereinigt wieder aus.[1] Ein präparierter Eintrag überstand das Speichern und wurde im Browser jedes Besuchers als Programmcode ausgeführt, der die Seite aufruft. Die Beschreibung nennt als Beispiel ein Forum: Ist bbPress installiert und das Forum öffentlich, kann schon ein Abonnent einen solchen Eintrag anlegen, sobald sein erstes Thema freigegeben ist. Ohne diese Konstellation ist laut NVD mindestens ein Mitwirkenden-Konto nötig.
Was solcher Code im Browser anrichten kann, hängt vom Besucher ab. Bei gewöhnlichen Lesern lassen sich Seiteninhalte verändern oder Besucher umleiten. Ruft ein angemeldeter Administrator die Seite auf, kann der Code in seinem Namen handeln. Wordfence wertet die Auswirkung auf Vertraulichkeit und Integrität mit „niedrig“, deshalb bleibt der Wert bei 7,2.[1] Ein Hinweis auf Ausnutzung liegt bis zum 14. November nicht vor.
Warum kehrt die Lücke bei den Bildunterschriften wieder?
Das Änderungsprotokoll nennt in diesem Jahr drei Korrekturen rund um Bildunterschriften: Version 2.8.1 vom 20. Juli bereinigt Titel und Beschreibungen vor der Ausgabe, Version 2.8.2 vom 21. Juli verbessert den Umgang mit codiertem Markup, Version 2.8.8 bereinigt die Unterschriften jetzt vor einem Textvergleich.[3] Wer Text einmal bereinigt und ihn später in anderer Form wieder zusammensetzt, öffnet die Tür ein zweites Mal. Dasselbe Muster zeigte sich zuletzt bei TranslatePress und Optimole mit Skripten in Seiteninhalten sowie bei Forminator in Registrierungsformularen. Bei NextGEN Gallery ging es dagegen um das Löschen von Dateien.
Wie viele Websites betroffen sind, lässt sich nicht beziffern. Laut wordpress.org liefen am 14. November rund 42 Prozent der Installationen auf der Reihe 2.7. Die Reihe 2.8 mit knapp 53 Prozent enthält neben der gepatchten Version 2.8.8 auch die anfälligen Stände 2.8.0 bis 2.8.7.[2] Installationen sind nicht betroffene Websites.
Eine Lightbox soll Bilder größer zeigen, nicht fremden Code mitliefern.
Michael Dobler, Herausgeber Dr. Web
Drei Korrekturen rund um Bildunterschriften
Auf welchen Versionsreihen die Installationen liefen
Orange: Reihe 2.7, durchweg vor 2.8.8, 42,2 Prozent. Die Reihe 2.8 enthält betroffene Versionen (2.8.0 bis 2.8.7) und die gepatchte 2.8.8. Status: offengelegt, Korrektur verfügbar, Angriffe nicht bekannt.
Was sollten Betreiber jetzt tun?
- Aktualisieren: Spielen Sie FooBox in Version 2.8.8 oder neuer ein und prüfen Sie, ob automatische Updates für das Plugin aktiv sind.
- Konten prüfen: Streichen Sie Mitwirkenden-Konten, die niemand mehr braucht. Läuft bbPress mit offener Registrierung, prüfen Sie, wer Themen ohne Freigabe veröffentlichen darf.
- Nach Spuren suchen: Suchen Sie in Beiträgen und Forenthemen nach ungewöhnlichen Einträgen in Bildangaben und kontrollieren Sie die Benutzerliste auf Administratoren, die Sie nicht angelegt haben.
- Meldepflicht klären: Waren personenbezogene Daten erreichbar und wurde die Lücke ausgenutzt, prüfen Sie die Meldung binnen 72 Stunden (Art. 33 DSGVO).[4]
Agenturen mit vielen Kundenwebsites aktualisieren zuerst die Seiten mit Forum oder mehreren Autoren. Grundregeln fasst der Ratgeber zur WordPress-Sicherheit zusammen, Managed-Hoster mit eigener Firewall nennt der WordPress-Hosting-Vergleich.
FAQ: Sicherheitslücke bei FooBox
Welche FooBox-Version schließt die Sicherheitslücke?
Version 2.8.8 schließt die Lücke laut Änderungsprotokoll, sie steht seit dem 7. November bereit. Betroffen sind laut NVD alle Versionen bis einschließlich 2.8.7.
Kann jeder Besucher die Lücke ausnutzen?
Laut Beschreibung nicht. Auf einer Standardinstallation ist mindestens ein Mitwirkenden-Konto nötig, mit installiertem bbPress und öffentlichem Forum genügt ein Abonnenten-Konto. Die Wertung von Wordfence führt den Angriff dagegen ohne Rechte.
Wird FooBox schon angegriffen?
Bis zum 14. November 2026 liegen keine Berichte über Angriffe vor, der Eintrag steht nicht im CISA-Katalog ausgenutzter Schwachstellen. Ein Update sollte dennoch bald laufen.
Was kann ein Angreifer mit der Lücke erreichen?
Der eingeschleuste Code läuft im Browser jedes Besuchers, der die Seite aufruft. Er kann Inhalte verändern oder umleiten, bei einem angemeldeten Administrator auch in dessen Namen handeln.
Quellen
4 Quellen anzeigenQuellen ausblenden
- NVDCVE-2026-120687 mit Beschreibung und Bewertung von Wordfence, aufgenommen am 14. November 2026, abgerufen am 14. November 2026
- wordpress.orgFooBox, aktive Installationen und Versionsverteilung, abgerufen am 14. November 2026
- wordpress.orgÄnderungsprotokoll von FooBox (Version 2.8.8 vom 7. November 2026), abgerufen am 14. November 2026
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 33
