Über das Block-Plugin Otter Blocks konnten Fremde ohne Konto Inhalte lesen, die Betreiber nur für Mitglieder, Käufer oder bestimmte Rollen freigegeben hatten. In WooCommerce-Shops lagen auch Gutscheincodes offen. Version 3.2.8 schließt vier Sicherheitslücken, darunter eine schwere.
Ein Klick · kostenlosDr. Web bei Google bevorzugenMarkieren Sie drweb.de als bevorzugte Quelle. Dann sehen Sie unsere Artikel öfter unter den Top-Meldungen.Jetzt hinzufügenThemeisle veröffentlichte Version 3.2.8 von Otter Blocks am 19. Oktober, zwei Tage später machte die Schwachstellen-Datenbank WPScan die Lücken öffentlich.[1] Das Plugin ergänzt den Block-Editor von WordPress um Bausteine wie Formulare, Slider und einen Stripe-Bezahlblock. Laut wordpress.org läuft Otter Blocks auf mehr als 300.000 Websites (Stand 23. Oktober).[2]
Das Wichtigste in Kürze
- Zwei Lücken mit CVSS 5,3 legten geschützte Inhalte ohne Anmeldung über die REST-Schnittstelle offen.
- Über eine dritte Lücke konnten Fremde unter erschwerten Bedingungen Skripte in Seiten einschleusen, WPScan vergibt dafür 7,5 Punkte.
- Rund 39 Prozent der Installationen laufen laut wordpress.org noch mit Versionen vor 3.2.
- Angriffe sind bisher nicht bekannt, Beispielcode für einen Angriff will WPScan ab 4. November veröffentlichen.
Warum galt die Sperre nur auf der Seite?
Mit Otter Blocks legen Betreiber fest, wer einen Block sieht: nur angemeldete Nutzer, bestimmte Rollen, der Autor oder in der Pro-Fassung Käufer, die über Stripe bezahlt haben. Laut WPScan setzte das Plugin diese Sichtbarkeitsregeln nur bei der Ausgabe der Seite durch. Rief jemand denselben Beitrag über die REST-Schnittstelle von WordPress ab, lieferte das Plugin den gesperrten Block mit (CVE-2026-109935).[1]
Eine eigene Schnittstelle des Plugins behandelte jeden veröffentlichten Beitrag als öffentlich (CVE-2026-109934). Fremde lasen darüber Textauszüge passwortgeschützter Beiträge, Inhalte nicht öffentlicher Inhaltstypen und in WooCommerce-Shops Gutscheincodes samt Beschreibung. Betroffen sind die Versionen 3.1.1 bis 3.2.7.[1] Auch bei Kirki konnten Fremde vergangene Woche Daten über eine Schnittstelle abfragen, die keine Rechte prüfte.
Was verbindet die Lücke mit LiteSpeed Cache und WebP Express?
Die schwerste Lücke, CVE-2026-109936, steckt in einer Routine, die Platzhalter für dynamische Inhalte in fertige Blöcke einsetzt. Ihr Suchmuster war laut WPScan nicht sauber begrenzt und konnte das Anführungszeichen verschlucken, das ein HTML-Attribut schließt. Nicht maskierte Daten daneben rutschten so als neue Attribute in die Seite. WPScan bewertet die Lücke nach CVSS 3.1 mit 7,5 (hoch), stuft den Angriff aber als schwierig ein: Ein Opfer muss die präparierte Seite aufrufen.[3]
Gefunden hat die Lücke der Sicherheitsforscher Jakub Herman. Von ihm stammen auch die Funde in LiteSpeed Cache und WebP Express aus derselben Woche.[4] Jedes Mal maskierte das Plugin die Daten zunächst, eine spätere Nachbearbeitung des fertigen HTML-Codes hob den Schutz wieder auf. Die vierte Lücke setzt ein Konto mit Mitarbeiterrechten voraus.
WPScan führt für Otter Blocks 19 Lücken, acht davon aus diesem Jahr.[5] Zwischen dem 19. und dem 22. Oktober zählte wordpress.org rund 116.500 Downloads.[6] Bei mehr als 300.000 Installationen sind damit rechnerisch höchstens knapp 40 Prozent aktualisiert.
Vom Patch bis zum Angriffsbeispiel
Eine Sichtbarkeitsregel, die nur im Browser greift, schützt keine Mitgliederinhalte. Die REST-Schnittstelle gehört in jeden Sicherheitstest.
Markus Seyfferth, Chefredakteur Dr. Web
Was sollten Betreiber jetzt tun?
- Aktualisieren: Bringen Sie Otter Blocks auf Version 3.2.8 und prüfen Sie, ob automatische Updates für das Plugin aktiv sind.
- Gutscheincodes ersetzen: Shops mit den Versionen 3.1.1 bis 3.2.7 ersetzen nicht öffentliche Gutscheincodes, etwa für Personal oder Partner, und kontrollieren die Einlösungen der vergangenen Monate.
- Geschützte Inhalte prüfen: Inhalte hinter Sichtbarkeitsregeln oder Passwort können bekannt geworden sein, etwa Händlerpreise oder Kursmaterial. Lagen dort personenbezogene Daten, prüfen Sie die 72-Stunden-Meldepflicht nach Art. 33 DSGVO.[7]
- Kundenseiten planen: Agenturen sollten vor dem 4. November fertig sein, dann folgt der erste Beispielcode für einen Angriff.
Im Katalog aktiv ausgenutzter Lücken der US-Cybersicherheitsbehörde CISA steht keine der vier Lücken. Regelmäßige Plugin-Updates gehören in jede WordPress-Wartung, viele Managed-Hoster übernehmen sie laut WordPress-Hosting-Vergleich selbst.
FAQ: Otter Blocks mit über 300.000 Installationen: Fremde konnten geschützte Inhalte lesen
Welche Version von Otter Blocks ist sicher?
Version 3.2.8 vom 19. Oktober 2026 schließt alle vier Sicherheitslücken, die WPScan am 21. Oktober veröffentlicht hat. Die installierte Version zeigt die Plugin-Übersicht im WordPress-Dashboard.
Welche Inhalte konnten Fremde über Otter Blocks lesen?
Laut WPScan lagen Blöcke offen, die Betreiber nur für angemeldete Nutzer, bestimmte Rollen oder Käufer freigegeben hatten, außerdem Textauszüge passwortgeschützter Beiträge und Inhalte nicht öffentlicher Inhaltstypen. In WooCommerce-Shops gehörten Gutscheincodes samt Beschreibung dazu.
Wird die Sicherheitslücke in Otter Blocks bereits ausgenutzt?
Berichte über Angriffe liegen bisher nicht vor, im Katalog aktiv ausgenutzter Lücken der US-Behörde CISA steht keine der vier Lücken. WPScan will Beispielcode für einen Angriff ab dem 4. November veröffentlichen, für die schwerste Lücke ab dem 21. November.
Quellen
7 Quellen anzeigenQuellen ausblenden
- WPScan„Otter Blocks < 3.2.8 – Unauthenticated Restricted Block Content Disclosure via REST API“ (CVE-2026-109935) und Otter Blocks 3.1.1 – 3.2.7 – Unauthenticated Non-Public Content Disclosure via REST API (CVE-2026-109934)
- WordPress.orgOtter Blocks, aktive Installationen und Versionsstatistik, abgerufen am 23. Oktober 2026; Änderungsprotokoll Version 3.2.8
- WPScan„Otter Blocks < 3.2.8 – Unauthenticated Stored XSS via Dynamic Content Render Filter“ (CVE-2026-109936), 21. Oktober 2026; GitHub: Änderungen zwischen Version 3.2.7 und 3.2.8
- WPScan: Einträge zu LiteSpeed Cache (CVE-2026-113499) und WebP Express (CVE-2026-97328), 20. und
- WPScanOtter Blocks, Liste der Sicherheitslücken, abgerufen am 23. Oktober 2026
- WordPress.orgDownloads je Tag für otter-blocks, abgerufen am 23. Oktober 2026
- EUR-LexVerordnung (EU) 2016/679 (DSGVO), Art. 33
Mehr Newshunger?
- LiteSpeed Cache mit über 7 Millionen Installationen: zwei schwere Sicherheitslücken
- WebP Express mit über 300.000 Installationen: schwere Sicherheitslücke beim HTML-Umbau
- PixelYourSite mit über 400.000 Installationen: Der Seiten-Cache verteilt eingeschleusten Code
- Redirection for Contact Form 7 mit über 200.000 Installationen: Fremde konnten Skripte einschleusen
- Elementor mit über 10 Millionen Installationen: Präparierte SVG-Grafiken schleusen Skripte ein
- Kirki mit über 500.000 Installationen: Fremde konnten Nutzerdaten auslesen
