sofort handelnWordPressCVE-2026-125850
Cross-Site Request Forgery in Appointment Dark bis Version 1.3.4
hoch
- Gemeldet11. November 2026
- Unser Artikel11. November 2026
- Korrekturnoch nicht genannt
- Ihre Websitejetzt prüfen
Das Wichtigste in Kürze
- Appointment Dark bis 1.3.4 ist von einer Cross-Site-Request-Forgery-Lücke betroffen.
- Die Schwachstelle kann ohne vorherige Anmeldung über das Netzwerk ausgenutzt werden.
- Betreiber sollten sofort die Plugin-Version prüfen und das Plugin deaktivieren oder ersetzen.
- Software
- Appointment Dark
- Betroffen
- bis einschließlich 1.3.4
- Behoben in
- nicht angegeben
- Schweregrad
- hoch (CVSS 8,8)
- Aktiv ausgenutzt
- nicht bekannt
- Kennung
- CVE-2026-125850
Unsere Einschätzung sofort handeln
Wir schätzen das Risiko für typische Unternehmensseiten als hoch ein, weil die Lücke ohne Login aus dem Netzwerk ausgenutzt werden kann und alle Installationen von Appointment Dark bis 1.3.4 betrifft. Da bislang kein Fix veröffentlicht ist, sollten Betreiber sofort handeln.
Was die Lücke in Appointment Dark Angreifern erlaubt
Die Sicherheitsmeldung CVE-2026-125850 beschreibt eine Cross-Site Request Forgery (CSRF) Schwachstelle. CSRF bedeutet, dass ein Angreifer einen Browser dazu bringen kann, ohne das Wissen des Nutzers Aktionen auszuführen – in diesem Fall können Anfragen an das Plugin manipuliert werden, obwohl der Angreifer nicht eingeloggt ist.
Die Lücke lässt sich aus der Ferne über das Netzwerk ausnutzen und erfordert keine vorherigen Benutzerrechte. Der CVSS-Score von 8.8 stuft das Risiko als hoch ein, jedoch liegen keine konkreten Auswirkungen in den Quellen vor.
Wer ist betroffen?
Betroffen sind alle WordPress-Installationen, die das Plugin Appointment Dark einsetzen und eine Version bis einschließlich 1.3.4 verwenden. Das Plugin wird häufig für Termin- und Buchungsfunktionen eingesetzt. Eine korrigierte Version ist bislang nicht bestätigt, sodass jede betroffene Installation potenziell gefährdet ist.
Was Sie jetzt tun sollten
- Plugin-Version prüfen – Öffnen Sie im WordPress-Dashboard den Bereich Plugins und notieren Sie die Versionsnummer von Appointment Dark.
- Bei Version ≤ 1.3.4 deaktivieren – Schalten Sie das Plugin sofort aus, um einen Missbrauch zu verhindern.
- Nach einem Update suchen – Informieren Sie sich beim Entwickler oder im Plugin-Repository, ob ein Patch veröffentlicht wurde; falls nicht, fordern Sie ein Update an.
- Backup erstellen – Sichern Sie vor weiteren Änderungen die komplette Website und Datenbank.
- Alternative Lösung prüfen – Erwägen Sie, ein anderes, regelmäßig aktualisiertes Termin-Plugin zu installieren.
- Monitoring aktivieren – Nutzen Sie ein Sicherheits-Plugin oder eine Web-Application-Firewall, um verdächtige Anfragen zu erkennen.
Durch diese Schritte reduzieren Sie das Risiko, dass Angreifer die CSRF-Lücke ausnutzen und ungewollte Aktionen auf Ihrer Seite ausführen.
Häufige Fragen
Wie erkenne ich, ob Appointment Dark auf meiner Seite installiert ist?
Im WordPress-Dashboard unter *Plugins* finden Sie das Plugin und können dort die Versionsnummer einsehen.
Welche Risiken birgt die CSRF-Lücke konkret?
Ein Angreifer kann über das Netzwerk ohne Login Aktionen im Namen eines angemeldeten Nutzers ausführen, wodurch zum Beispiel Termine manipuliert werden könnten.
Was kann ich tun, wenn kein Update verfügbar ist?
Deaktivieren Sie das Plugin sofort, prüfen Sie alternative Termin-Plugins und informieren Sie Ihren Hoster bzw. den Plugin-Entwickler über die Sicherheitslücke.