Wenn Sie von mir eine E-Mail mit einem Verweis auf diese Seite erhalten haben, dann deshalb, weil Ihre Website offenbar eine Version von Blog Floating Button einsetzt (das WordPress-Plugin von sunhaengsa / kuma-chan, das in Ihren Dateien unter /wp-content/plugins/blog-floating-button/ liegt), die in den betroffenen Bereich eines bekannten Sicherheitsproblems fällt. Diese Seite erklärt, worum es geht, wie Sie prüfen, welche Version Sie haben, wie Sie aktualisieren und was danach zu tun ist.

Das Problem wird als CVE-2026-15383 geführt, eine nicht authentifizierte gespeicherte Cross-Site-Scripting-Schwachstelle in der Klick-Erfassung und Berichtsfunktion des Plugins. Betroffen ist jedes Release vor 1.4.21, behoben ist es in 1.4.21, veröffentlicht am

  1. Juli 2026. Wenn Sie etwas Älteres als 1.4.21 einsetzen, aktualisieren Sie Blog Floating Button auf 1.4.21 oder neuer.

Eines sei deutlich gesagt, weil es sich von manchen anderen Hinweisen unterscheidet, die ich versendet habe: Es gibt keine ältere Version, die sicher wäre. Dies ist kein Fehler, der irgendwann in der Geschichte des Plugins entstanden und dann behoben worden wäre. Der fehlende Schutz war in jedem Release vorhanden, das das Plugin je veröffentlicht hat, bis einschließlich 1.4.20. „Meine Installation ist zu alt, um betroffen zu sein” ist hier also kein Ausweg. Die einzigen nicht betroffenen Versionen sind 1.4.21 und neuer.

Dieser Hinweis hängt außerdem nicht davon ab, wie Ihre Website konfiguriert ist. Es gibt keine Einstellung, die eingeschaltet sein müsste, damit der betroffene Code vorhanden ist.

Dies ist ein Fehler im Plugin, kein Fehler im WordPress-Kern. Ein vollständig aktuelles WordPress schützt Sie nicht, wenn das Plugin Blog Floating Button selbst auf einer betroffenen Version steht.

Ist diese Nachricht echt?

Ja. Dies ist ein Hinweis nach dem Grundsatz der verantwortungsvollen Offenlegung von einem unabhängigen Sicherheitsforscher. Ich bitte Sie nicht um Geld, Passwörter oder Zugang zu Ihrer Website, und ich habe nicht versucht, in sie einzudringen, etwas an sie zu senden oder etwas auszunutzen.

Ich habe lediglich öffentlich sichtbare Dateien betrachtet, die Ihre Website jedem Besucher ausliefert (genauso, wie Ihre Startseite öffentlich ist), und die Versionsnummer notiert, die das Plugin veröffentlicht. Ich habe insbesondere nichts an die Erfassungsfunktion des Plugins gesendet, und nichts an dieser Prüfung berührt Ihre Daten, Ihren Adminbereich oder einen privaten Teil Ihrer Website (mehr dazu unter Was ich getan und nicht getan habe).

Wenn Sie überprüfen möchten, wer ich bin, finden Sie die Kontaktdaten am Ende dieser Seite und auf der Seite Über.

Warum das wichtig ist

Blog Floating Button fügt Ihren Beiträgen und Seiten eine schwebende Schaltfläche hinzu und führt eine eigene Aufzeichnung über Klicks und Besuche, damit Sie diese später in einem Zugriffsbericht im WordPress-Adminbereich einsehen können. Beide Hälften dieser Funktion sind hier beteiligt.

In betroffenen Versionen nimmt das Plugin Erfassungsdaten von jedem entgegen, ohne dass eine Anmeldung nötig wäre, und speichert einen Teil dessen, was der aufrufende Browser über sich selbst gemeldet hat, genau so wie empfangen in einer eigenen Datenbanktabelle, ohne ihn zu bereinigen. Wenn die Berichtsseite diese gespeicherten Zeilen später anzeigt, schreibt sie sie unverändert in die Seite. Die Folge ist, dass Text, den ein anonymer Besucher gespeichert hat, bei der Anzeige des Berichts als Code behandelt werden kann.

Wo dieser Code ausgeführt wird, ist der Punkt, bei dem Genauigkeit lohnt, und er entspricht nicht dem, was der Wortlaut der öffentlichen Meldung nahelegt. Die Berichtsseite liegt im WordPress-Adminbereich. Der Code würde also im Browser eines angemeldeten Administrators laufen, der den Zugriffsbericht des Plugins öffnet, nicht in den Browsern Ihrer gewöhnlichen Website-Besucher. Falls Sie befürchtet haben, dass Menschen, die Ihre Website besuchen, darüber angegriffen werden: Das ist nicht der Fall, und ich sage das lieber klar, als bei Ihnen einen bedrohlicheren Eindruck zu hinterlassen, als die Fakten hergeben.

Damit ist auch das Ausmaß umrissen. Dies ist eine echte, nicht authentifizierte gespeicherte Schwachstelle, und sie sollte zügig behoben werden, aber sie ist enger gefasst als die Probleme rund um Kontoübernahme und Codeausführung aus der Ferne, über die ich an anderer Stelle schreibe. Sie verschafft niemandem von sich aus ein Administratorkonto, und sie gibt niemandem von sich aus die Kontrolle über Ihren Server. Es muss erst ein Administrator eine ganz bestimmte Seite öffnen, bevor überhaupt etwas geschieht.

Eine zweite Korrektur fährt im selben Release mit. Das Änderungsprotokoll zu 1.4.21 hält außerdem fest, dass eine SQL-Injection-Schwachstelle in den Such- und Filterparametern der Berichtsseite behoben wurde. Dafür wurde, soweit ich sehen kann, keine eigene Meldung und keine CVE-Kennung veröffentlicht, deshalb hänge ich ihr auch keine Kennung an; ich erwähne sie, weil das Update auf 1.4.21 sie ebenfalls behebt. Dasselbe Release hat zusätzlich ein Problem bei der Fehlerausgabe behoben, das Dateipfade auf dem Server preisgeben konnte, und der Hersteller hat das gesamte Plugin auf Ausgabe-Escaping und Eingabebereinigung durchgesehen. Das alles heißt: 1.4.21 ist ein Sicherheitsrelease, und es lohnt sich auch dann, wenn Ihnen das Hauptproblem mild erscheint.

Ich beschreibe das auf dem Niveau, das ein Website-Betreiber zum Handeln braucht, und nicht weiter. Ich veröffentliche nicht die Details, mit denen jemand das Problem nachstellen könnte, und ich bitte Sie, es weder auf Ihrer eigenen noch auf einer fremden Website auszuprobieren. Ihre Versionsnummer abzulesen, wie unten beschrieben, sagt Ihnen alles, was Sie für Ihre Entscheidung brauchen.

Wenn meine E-Mail dieses Problem genannt hat, bedeutet das, dass die von Ihrer Website gemeldete Version älter als 1.4.21 ist. Ich habe nicht geprüft, ob Ihre konkrete Website ausnutzbar ist; beobachtet habe ich ausschließlich die Version.

Bin ich betroffen?

Es kommt auf eine Frage an: Welche Version von Blog Floating Button setzen Sie ein?

Im WordPress-Adminbereich (maßgeblich):

  1. Melden Sie sich in Ihrem WordPress-Dashboard an (meist unter ihredomain.de/wp-admin).
  2. Gehen Sie zu Plugins und dann Installierte Plugins.
  3. Suchen Sie Blog Floating Button, den Eintrag mit dem Ordner blog-floating-button, und lesen Sie die Version unter dem Namen ab.

Aus der öffentlichen Manifestdatei (ohne Anmeldung): Öffnen Sie ihredomain.de/wp-content/plugins/blog-floating-button/readme.txt im Browser. Die Zeile Stable tag: weiter oben nennt die Version, die Ihre Installation meldet; genau diese öffentliche Datei habe ich gelesen. Bei diesem Plugin stimmt sie in jedem veröffentlichten Release exakt mit der im Adminbereich angezeigten Version überein.

Eine Prüfung, die bei diesem Plugin nicht funktioniert, verlassen Sie sich also bitte nicht darauf. Wenn Sie es gewohnt sind, Plugin-Versionen aus der ?ver=-Nummer abzulesen, die im Quelltext Ihrer Seite an einem Skript oder Stylesheet hängt, führt Sie das hier in die Irre. Das Plugin schreibt seine eigene Version nicht auf diese Dateien, also trägt WordPress stattdessen die Version des WordPress-Kerns ein. Eine Nummer wie 6.8.5 oder 7.0.1 neben einer Datei dieses Plugins ist Ihre WordPress-Version, nicht Ihre Plugin-Version, und sie mit 1.4.21 zu vergleichen ist sinnlos. Nutzen Sie den Adminbereich oder die readme.txt.

Wenden Sie dann diese Regel an, und beachten Sie, dass Versionen numerisch und nicht alphabetisch verglichen werden, 1.4.21 ist also neuer als 1.4.9, auch wenn es als Text kleiner aussieht:

  • Alles, was älter als 1.4.21 ist: betroffen. Aktualisieren Sie. Es gibt keine Grenze, unterhalb derer ein älteres Release wieder sicher wäre.
  • 1.4.21 oder neuer: bereits behoben.

Wie Sie aktualisieren

Das Plugin ist kostenlos, weiterhin veröffentlicht und wird aktiv gepflegt, die Behebung ist also ein gewöhnliches Update. Der sicherste Weg führt über WordPress selbst, und zwar mit einem Backup vorab:

  1. Erstellen Sie ein Backup Ihrer Website (Dateien und Datenbank), bevor Sie etwas ändern. Die meisten Hoster bieten Backups mit einem Klick, alternativ nutzen Sie ein WordPress-Backup-Plugin.
  2. Gehen Sie im WordPress-Adminbereich zu Dashboard und dann Aktualisierungen, oder zu Plugins und dann Installierte Plugins. Wenn dort ein Update für Blog Floating Button aufgeführt ist, installieren Sie es von hier aus.
  3. Wenn Sie die Kommandozeile bevorzugen, tut WP-CLI dasselbe: wp plugin update blog-floating-button.
  4. Wenn kein Update erscheint, können Sie das aktuelle Release direkt von der Seite des Plugins im WordPress.org-Verzeichnis beziehen, Blog Floating Button, und über Plugins, dann Plugin installieren, dann Plugin hochladen aktualisieren.
  5. Prüfen Sie nach dem Update mit den obigen Schritten die neue Versionsnummer (1.4.21 oder neuer) und kontrollieren Sie, dass Ihre schwebende Schaltfläche weiterhin erscheint und sich normal verhält.

Wenn Sie schon dabei sind, lohnt es sich zu prüfen, ob der WordPress-Kern und Ihre übrigen Plugins aktuell sind, denn für sie alle gilt dasselbe Prinzip.

Nach dem Update

Das Update auf 1.4.21 oder neuer schließt das Problem: Die Berichtsseite bereinigt nun jeden Wert vor der Anzeige, gespeicherte Erfassungsdaten werden also als Text dargestellt und nicht als Code behandelt.

Was möglicherweise bereits passiert ist, sorgfältig formuliert. Alles, was ein anonymer Besucher vor Ihrem Update gespeichert hat, liegt weiterhin in der Erfassungstabelle des Plugins, aber es hätte überhaupt nur dann etwas bewirkt, wenn einer Ihrer Administratoren den Zugriffsbericht des Plugins tatsächlich geöffnet hat, während die Website auf einer betroffenen Version stand. Wenn niemand diese Seite genutzt hat, hatte nichts die Gelegenheit, ausgeführt zu werden. Das Update verhindert die Ausführung in Zukunft; es macht nicht rückgängig, was bereits ausgeführt wurde.

Wenn Ihre Administratoren diesen Bericht regelmäßig nutzen oder Sie einfach gründlich sein möchten, sind dies sinnvolle und günstige Prüfungen:

  • Sehen Sie Ihre Administratorkonten durch. Gehen Sie im WordPress-Adminbereich zu Benutzer, filtern Sie auf Administrator und vergewissern Sie sich, dass jedes aufgeführte Konto zu jemandem gehört, der diesen Zugang haben soll, und die E-Mail-Adresse trägt, die es haben soll.
  • Sehen Sie die jüngsten Änderungen an den Benutzern, Einstellungen und Inhalten Ihrer Website auf alles durch, was Ihnen unbekannt vorkommt.
  • Wenn Ihnen etwas nicht richtig erscheint, ist das Zurücksetzen der Administrator-Passwörter ein vernünftiger nächster Schritt, und das Erneuern der Sicherheitsschlüssel und Salts von WordPress in der wp-config.php (neue Werte gibt es mit einem Klick beim offiziellen Schlüsselgenerator) meldet alle Benutzer einmal ab.

Ich habe keinerlei Einblick darin, ob auf Ihrer Website tatsächlich etwas passiert ist, und ich habe nicht nachgesehen. Dies ist ein vorsorglicher Hinweis, kein Vorfallsbericht.

Was ich getan und nicht getan habe

Um vollständig transparent zu machen, worauf meine E-Mail beruht: Ich habe nur öffentliche Dateien gelesen, die Ihre Website ohnehin jedem Besucher ausliefert, konkret die öffentliche readme.txt des Plugins und Ihre Startseite. Ich habe nicht auf Ihren WordPress-Adminbereich, Ihre Datenbank oder einen anderen privaten Teil der Website zugegriffen, und ich habe die Berichtsseite Ihres Plugins nie geöffnet, was mir ohne ein Konto auf Ihrer Website ohnehin nicht möglich wäre.

Insbesondere habe ich nie etwas an die Erfassungsfunktion des Plugins gesendet. Es wurde nichts eingereicht, gespeichert, getestet oder ausgenutzt. Das wiegt hier schwerer als auf den meisten dieser Seiten, denn die Erfassungsfunktion ist genau das, worum es bei diesem Problem geht, „ich habe sie nicht angerührt” ist also der ganze Unterschied zwischen einer Offenlegung und einem Eindringen.

Ich veröffentliche außerdem bewusst nicht die Details, die jemandem helfen würden, dieses Problem auszunutzen. Die obige Beschreibung endet auf dem Niveau, das ein Website-Betreiber braucht, und ich verlinke keinerlei Proof-of-Concept-Code.

Dies ist eine versionsbasierte Beobachtung: Ihre Website meldet eine Version, die älter als 1.4.21 ist. Eine Website in diesem Bereich kann bereits anderweitig geschützt sein, etwa durch eine Web Application Firewall oder eine zurückportierte Korrektur. Dieser Hinweis ist keine Aussage darüber, dass Ihre Website zum Zeitpunkt meiner Prüfung ausnutzbar war.

Ich habe keinen Webmaster / ich komme nicht weiter

Wenn Sie die Website nicht selbst betreuen, leiten Sie diese Seite bitte an die zuständige Person weiter (Ihre Webentwicklung, Agentur oder Ihren Hoster). Dort wird man die obigen Schritte schnell wiedererkennen.

Wenn Sie die Website selbst betreuen und nicht weiterkommen, helfe ich Ihnen gern kostenlos weiter. Melden Sie sich einfach über die Kontaktdaten unten.

Kontakt

Evan Harris, Sicherheitsforscher

Ich melde mich zu solchen Themen ausschließlich, um Betreibern zu helfen, ihre Websites abzusichern. Wenn Sie nicht erneut kontaktiert werden möchten, sagen Sie einfach Bescheid; ich halte mich daran.

Quellen

Offizielle Meldungen und Nachverfolgung

Hersteller / Plugin