Click to Chat: Lückenmeldung unbestätigt, Updates trotzdem prüfen

Für mehrere verbreitete WordPress-Plugins sind neue Schwachstellenmeldungen aufgetaucht, darunter für Click to Chat mit 600.000 aktiven Installationen. Belegt sind die Details nur für Bit Integrations und AcyMailing. Bei den übrigen Meldungen sind Auswirkung und Patch-Stand unbestätigt. Ein Update auf die aktuelle Version bleibt trotzdem der naheliegende Schritt.

Click to Chat – HoliThemes (click-to-chat-for-whatsapp): Meldung ohne bestätigte Details

Betroffen ist laut Meldung das Plugin Click to Chat – HoliThemes mit rund 600.000 aktiven Installationen laut wordpress.org. Es ist dort weiterhin gelistet und nicht geschlossen. Die aktuelle Version ist 4.45, zuletzt aktualisiert am 28. September 2026.

Zur Lücke selbst lässt sich derzeit wenig sagen. Art der Schwachstelle, Schweregrad, betroffene Versionen und die Frage, ob eine Anmeldung nötig ist, sind unbestätigt, weil die Advisory-Seiten von Wordfence und CVE.org keinen lesbaren Inhalt lieferten. Auch ein Changelog oder Advisory, das Version 4.45 als Fix für diese Meldung ausweist, liegt nicht vor. Der abgerufene WPVulnerability-Eintrag war abgeschnitten und nennt die Meldung im lesbaren Teil nicht. Er widerlegt sie aber auch nicht.

Was du tun kannst: Prüfe, welche Version bei dir läuft, und aktualisiere auf die aktuelle Version 4.45. Ob das die Meldung behebt, ist nicht belegt. Beobachte deshalb die Advisory-Seiten von Wordfence und CVE.org.

Ebenfalls diese Woche

Bit Integrations (bit-integrations), CVE-2026-102007: Laut CVE-Eintrag, den Wordfence als CNA veröffentlicht hat, betrifft die Lücke alle Versionen bis einschließlich 2.10.6. Es handelt sich um Stored Cross-Site-Scripting (eingeschleustes Skript, das im Browser späterer Besucher läuft) über einen öffentlichen Webhook. Ein nicht angemeldeter Angreifer könnte Skriptcode ablegen. Der CVSS-Wert liegt bei 7.2 (hoch). Laut CVE-Eintrag greift die Lücke nur bei einer bestimmten Konfiguration des Plugins. Der Hersteller wurde am 28. September 2026 informiert, die Offenlegung folgte am 12. Oktober 2026. Eine gepatchte Version nennt der CVE-Eintrag nicht. Auf wordpress.org steht aktuell Version 2.10.8 (20.000 aktive Installationen). Eine weitere Meldung beschreibt eine Rechteausweitung ohne Anmeldung. Sie konnte aus keiner lesbaren Quelle bestätigt werden.

AcyMailing (acymailing), CVE-2026-102562: Betroffen sind laut CVE-Eintrag Versionen bis einschließlich 11.1.0, der CVSS-Wert beträgt 7.2 (hoch). Ein nicht angemeldeter Besucher könnte über das öffentliche Anmeldeformular Skriptcode in einem benutzerdefinierten Feld eines Abonnenten speichern. Der Code läuft bei jedem, der den Online-Archiv-Link dieses Abonnenten öffnet, auch bei Administratoren. Aktuell ist Version 11.1.1 vom 6. Oktober 2026. Das Changelog nennt dort nur, dass HTML in Werten benutzerdefinierter Felder nicht mehr erlaubt ist. Als Sicherheitsfix ist das in keiner Quelle ausgewiesen. Das Plugin hat 5.000 aktive Installationen.

BP Profile Search (bp-profile-search): Laut Changelog entfernt Version 6.0 vom 10. Oktober 2026 eine Sicherheitslücke, der Dank geht an snr von Wordfence. Eine CVE-Kennung oder Lückenart nennt das Changelog nicht. Welche Meldung genau damit behoben ist, bleibt unbestätigt. Das Plugin hat 5.000 aktive Installationen.

Booking Package (booking-package): Gemeldet ist die Offenlegung sensibler Informationen ohne Anmeldung. Das ist unbestätigt, ebenso Schweregrad und betroffene Versionen. Aktuell ist Version 1.7.31 mit 10.000 aktiven Installationen.

Database Addon for Contact Form 7 – CFDB7 (contact-form-cfdb7): Das Plugin hat laut wordpress.org über 600.000 aktive Installationen, aktuell ist Version 1.4.2. Gemeldet ist das Löschen begrenzter Dateien ohne Anmeldung. Das ist unbestätigt. Das Changelog auf wordpress.org enthält keinen Eintrag zu 1.4.1 oder 1.4.2.

Was du jetzt tun solltest

Versionen prüfen: Sieh im Dashboard nach, welche der genannten Plugins bei dir laufen und in welcher Version.
Backup und Staging: Sichere die Seite und spiele Updates zuerst auf einer Staging-Kopie ein.
Aktualisieren: Die aktuellen Directory-Versionen sind BP Profile Search 6.0, AcyMailing 11.1.1, Bit Integrations 2.10.8, Click to Chat 4.45, Booking Package 1.7.31 und CFDB7 1.4.2. Bei den meisten davon ist nicht belegt, dass genau diese Version die gemeldete Lücke schließt. Mit der neuesten Version bist du der Datenlage trotzdem am nächsten.
Bit Integrations und AcyMailing vorrangig behandeln: Für diese beiden Plugins sind betroffene Versionen und der CVSS-Wert belegt. Bei Bit Integrations sind Versionen bis 2.10.6 betroffen, bei AcyMailing Versionen bis 11.1.0.
Aufräumen: Deaktiviere und lösche Plugins, die du nicht brauchst.
Quellen beobachten: Schau regelmäßig in die Advisory-Seiten von Wordfence und CVE.org, bis die offenen Angaben bestätigt sind.

Quellen

Brauchst du Hilfe bei diesem Thema?

Wir prüfen deine Seite und sagen dir ehrlich, was sie wirklich braucht – Erstanalyse für 49 €.

Soforthilfe anfragen

Click to Chat: Lückenmeldung unbestätigt, Updates trotzdem prüfen

Click to Chat – HoliThemes (click-to-chat-for-whatsapp): Meldung ohne bestätigte Details

Ebenfalls diese Woche

Was du jetzt tun solltest

Quellen

Weiterlesen

ShopMagic: Fremde könnten Code auf deinem Server starten