Cross-Site-Scripting (XSS)

Warum es für WordPress wichtig ist

Gespeichertes XSS in einem Kommentar, einem Page-Builder-Feld oder einem Admin-Hinweis kann im Browser eines anderen Benutzers laufen. Bei Admins kann das gestohlene Cookies, erzwungene Aktionen oder Malware für Besucher heißen. Reflektiertes XSS reitet oft auf gebauten URLs in Plugins.

So zeigt es sich in der Praxis

• Unerwartete Popups, Weiterleitungen oder eingeschleuste Werbung im Frontend
• Admin-Bildschirme, die sich seltsam verhalten, nachdem jemand gebaute Inhalte angesehen hat
• Scanner- oder CVE-Notizen zu reflektiertem oder gespeichertem XSS in einem Plugin

Was Sie tun sollten

1. Aktualisieren Sie anfällige Plugins und Themes schnell.
2. Begrenzen Sie, wer ungefiltertes HTML veröffentlichen darf.
3. Bereinigen und escapen Sie Ausgaben in eigenen Themes und Plugins.
4. Nutzen Sie eine Content-Security-Policy, wo das praktisch ist (Hosting oder Rand).
5. Behandeln Sie seltsames JavaScript auf Ihren Seiten als Vorfall: scannen, aktuelle Inhalte prüfen, Benutzer prüfen.

Ausführliche Anleitung: XSS-Angriffe auf WordPress.