Mit mehr als einer Million Installationen ist Astra eines der meistgenutzten WordPress-Themes und eines der am wenigsten betroffenen: vier veröffentlichte Lücken seit 2020, keine davon mit hohem Schweregrad. Diese beruhigende Bilanz gilt allerdings nur für das Theme. Die Plugins von Brainstorm Force, die es oft begleiten, Starter Templates, Spectra oder Astra Pro, hatten deutlich ernstere Lücken. Hier sind beide Geschichten, klar getrennt, und was du aktualisieren musst.
Astra in Kürze
Astra ist ein kostenloses Theme, im Mai 2017 auf wordpress.org von Brainstorm Force veröffentlicht, dem Hersteller, der auch hinter Ultimate Addons for Elementor (dessen Geschichte der Lücken wir nachgezeichnet haben), Spectra und Starter Templates steht. Es ist leichtgewichtig, kompatibel mit Elementor, Gutenberg und WooCommerce und hat mehr als eine Million aktive Installationen (wordpress.org).
Wie die meisten modernen Themes funktioniert Astra als Ökosystem. Das Theme liefert das Layout sowie Header und Footer, die im Customizer einstellbar sind. Demo-Websites werden mit dem Plugin Starter Templates importiert (mehr als eine Million aktive Installationen), erweiterte Blöcke kommen von Spectra (mehr als eine Million), und die Premium-Funktionen von Astra Pro laufen über ein separates, kostenpflichtiges Plugin, Astra Pro Addon. Auf einer echten Website ist die Angriffsfläche also die dieses gesamten Pakets, nicht die des Themes allein.
Seine Beliebtheit macht es zu einem naheliegenden Ziel: Eine Lücke im Theme fände sich identisch auf einer Million Websites wieder. Genau das macht seine Geschichte interessant: Sie zeigt, dass ein sehr verbreitetes Theme sehr wenig angreifbar bleiben kann, wenn es sich auf seine Aufgabe beschränkt.
Chronologie der Lücken von 2020 bis Oktober 2026
Das Theme Astra: vier Lücken in sechs Jahren
WPScan und Patchstack verzeichnen für das Theme dieselben vier Lücken zwischen dem 1. Januar 2020 und dem 3. Oktober 2026. Der CVSS-Wert stammt von der Stelle, die die CVE vergeben hat. Keine ist als ausgenutzt dokumentiert.
| Veröffentlichung | Behoben in | Art | CVSS | CVE | Erforderliches Konto |
|---|---|---|---|---|---|
| 25. März 2024 | 4.6.9 | Gespeicherte XSS (öffentlicher Name des Benutzers) | 6,4 (Wordfence) | CVE-2024-2347 | Mitarbeiter |
| 25. März 2024 | 4.6.5 | Gespeicherte XSS (Header und Footer) | 5,9 (Patchstack) | CVE-2024-29768 | Redakteur |
| 10. März 2026 | 4.12.4 | Gespeicherte XSS (Hintergrundeinstellungen einer Seite) | 6,4 (Wordfence) | CVE-2026-3534 | Mitarbeiter |
| 30. September 2026 | 4.14.0 | CSS-Injection (globale Farbpalette) | 2,7 (Patchstack) | CVE-2026-27085 | Shop-Manager |
Das Ökosystem von Brainstorm Force: die bemerkenswerten Lücken
Diese zweite Tabelle betrifft nicht das Theme, sondern die Plugins desselben Herstellers, die oft mit ihm installiert werden. Sie führt nur die bedeutenden Lücken auf: hoher oder kritischer Schweregrad oder ohne Konto ausnutzbar. Die Mengen sind viel größer: WPScan verzeichnet im selben Zeitraum 10 Lücken für Starter Templates und 21 für Spectra.
| Veröffentlichung | Plugin | Behoben in | Art | CVSS | CVE | Erforderliches Konto |
|---|---|---|---|---|---|---|
| 8. Juli 2021 | Astra Pro Addon (kostenpflichtig) | 3.5.2 | SQL-Injection | 8,6 (WPScan), 9,8 (NVD) | CVE-2021-24507 | Keins |
| 5. September 2023 | Starter Templates | 3.2.5 | Serverseitige Anfragefälschung (SSRF) | 7,1 (Patchstack) | CVE-2023-41804 | Mitarbeiter |
| 5. Dezember 2023 | Astra Pro (kostenpflichtig) | 4.3.2 | Remote-Codeausführung | 9,9 (Patchstack) | CVE-2023-49830 | Mitarbeiter |
| 9. Mai 2024 | Spectra Pro (kostenpflichtig) | 1.1.6 | Rechteausweitung | 8,8 (Wordfence) | CVE-2024-3828 | Autor |
| 5. Dezember 2025 | Starter Templates | 4.4.42 | Upload beliebiger Dateien | 8,8 (Wordfence) | CVE-2025-13065 | Autor |
| 19. Januar 2026 | Custom Fonts | 2.1.17 | Löschen von Schriftarten, fehlende Autorisierung | 5,3 (Wordfence) | CVE-2025-14351 | Keins |
| 2. Februar 2026 | Spectra | 2.19.18 | Offenlegung passwortgeschützter Textauszüge | 5,3 (Wordfence) | CVE-2026-0950 | Keins |
| 29. Mai 2026 | Spectra | 2.19.26 | Remote-Codeausführung | 8,8 (Wordfence) | CVE-2026-7465 | Mitarbeiter |
Die bemerkenswerten Lücken erklärt
Das Theme: XSS und sonst nichts
Die ersten drei Lücken des Themes sind gespeicherte XSS: Ein angemeldeter Benutzer speichert JavaScript in einem Feld, das das Theme anschließend ausgibt, ohne es zu entschärfen, und dieser Code wird im Browser jedes Besuchers ausgeführt. Ist das Opfer ein Administrator, handelt das Skript mit dessen Rechten (siehe unseren Artikel über XSS-Lücken).
Im März 2024 zeigte Matthew Rollings, dass ein Mitarbeiter Code in seinem öffentlichen Namen unterbringen konnte, den das Theme in die Seiten übernahm (CVE-2024-2347). Wordfence informierte den Hersteller am 11. März; die Version 4.6.9 erschien am 23. März, zwei Tage vor der Veröffentlichung. Am selben Tag veröffentlichte Patchstack eine XSS in Header und Footer, ausnutzbar durch einen Redakteur (CVE-2024-29768), die bereits seit dem 12. Februar in 4.6.5 behoben war.
Im März 2026 fand Alex Hickey heraus, dass die Hintergrundeinstellungen einer Seite, gespeichert in Metadaten, die ein Mitarbeiter ändern kann, ohne Escaping in das CSS der Seite eingefügt wurden (CVE-2026-3534). Gemeldet am 4. März, behoben am 10. März in 4.12.4 und am selben Tag veröffentlicht. Schließlich erlaubt CVE-2026-27085, veröffentlicht am 30. September 2026, einem WooCommerce-Shop-Manager, über die globale Farbpalette CSS einzuschleusen. Mit einem Wert von 2,7 ist sie eine niedrige Lücke: Diese Rolle hat bereits weitreichende Rechte, und die Auswirkung beschränkt sich auf das Aussehen der Website.
Das Änderungsprotokoll von Astra nennt außerdem Sicherheitskorrekturen, für die es am 3. Oktober 2026 keinen öffentlichen Eintrag gab: HTML-Inhalt, der ohne die Berechtigung unfiltered_html akzeptiert wurde, und XSS im Konto-Element des Headers (Versionen 4.13.11 und 4.13.12, September 2026), XSS in der Live-Suche (4.14.0, 24. September). Weitere Einträge könnten die Bilanz also noch ergänzen; sie betreffen alle bereits korrigierte Versionen.
Astra Pro: die zwei schwersten Lücken des Ökosystems
Das kostenpflichtige Plugin Astra Pro Addon hält die beiden höchsten Werte. Im Juli 2021 veröffentlichte WPScan eine von Ngoc Nguyen entdeckte SQL-Injection: Zwei AJAX-Aktionen für das endlose Laden von Seiten, für nicht angemeldete Besucher erreichbar, fügten ungefilterte Parameter in SQL-Abfragen ein (CVE-2021-24507, behoben in 3.5.2). Ein Angreifer konnte so ohne Konto die Datenbank der Website abfragen.
Im Dezember 2023 veröffentlichte Patchstack eine Lücke zur Codeausführung in Astra Pro bis 4.3.1, ausnutzbar mit einem einfachen Mitarbeiter-Konto (CVE-2023-49830, CVSS 9,9). Am 28. August 2023 von Rafie Muhammad gemeldet, wurde sie in 4.3.2 behoben; Patchstack hat die technischen Details nicht veröffentlicht. Da Astra Pro nicht über wordpress.org verteilt wird, laufen seine Updates über das Konto bei Brainstorm Force: Prüfe, ob sie wirklich auf deiner Website ankommen.
Starter Templates: der Importer, ein Tor zum Server
Starter Templates importiert vollständige Websites: Seiten, Bilder, Einstellungen. Diese Funktion arbeitet mit Dateien und entfernten Adressen, was seine beiden ernstesten Lücken erklärt. 2023 zeigte Rafie Muhammad (Patchstack), dass ein Mitarbeiter den Server Anfragen an Adressen seiner Wahl schicken lassen konnte (SSRF, CVE-2023-41804), behoben in 3.2.5. Im Dezember 2025 umging Michael Mazzolini die Prüfung der WXR-Importdateien mit einer doppelten Dateiendung: Ein Autor konnte eine beliebige Datei auf dem Server ablegen, was zur Codeausführung führen kann (CVE-2025-13065, CVSS 8,8). Wordfence informierte den Hersteller am 12. November 2025; die Version 4.4.42 erschien am 14. November, drei Wochen vor der Veröffentlichung.
Ist die Website einmal aufgebaut, wird dieses Plugin oft nicht mehr gebraucht. Wenn du es deinstallierst, verschwindet diese Angriffsfläche auf einen Schlag.
Spectra und Spectra Pro: von Blöcken zu Rechten
Spectra, die Gutenberg-Blockbibliothek von Brainstorm Force, hat bei WPScan 21 Lücken von 2020 bis zum 3. Oktober 2026, zur Hälfte gespeicherte XSS durch Mitarbeiter. Seit der Version 2.20.0 vom 14. Juli 2026 heißt es Spectra Legacy und erhält nur noch Korrekturen; Neuerungen kommen über ein neues Plugin, Spectra Blocks. Zwei Lücken von 2026 stechen heraus. CVE-2026-0950 erlaubte es jedem Besucher, den Textauszug eines passwortgeschützten Beitrags zu lesen, der von den Blöcken Beitragsraster oder Beitragskarussell angezeigt wurde (behoben in 2.19.18). CVE-2026-7465, schwerer, erlaubte es einem Mitarbeiter, eine PHP-Funktion seiner Wahl ausführen zu lassen, indem er im Inhalt eines Beitrags einen gefälschten Block deklarierte: Das ist Codeausführung auf dem Server (CVSS 8,8). Am 29. April 2026 von Supanat Konprom gemeldet, wurde sie am 4. Mai in 2.19.26 behoben und am 29. Mai veröffentlicht.
In Spectra Pro, der kostenpflichtigen Version, konnte ein Autor ein Registrierungsformular anlegen, das neuen Konten die Rolle Administrator zuwies (CVE-2024-3828, CVSS 8,8, veröffentlicht am 9. Mai 2024), behoben in 1.1.6. Schließlich ließ das Plugin Custom Fonts (mehr als 400.000 aktive Installationen) einen nicht angemeldeten Besucher den Schriftarten-Ordner löschen und die Datei theme.json überschreiben (CVE-2025-14351, behoben in 2.1.17).
Was diese Geschichte zeigt
- Ein wenig angreifbares Theme: vier Lücken in sechs Jahren bei mehr als einer Million Websites, alle mit erforderlichem Konto, keine mit hohem Schweregrad. Astra beschränkt sich auf die Darstellung und überlässt komplexe Funktionen Plugins.
- Das Risiko liegt im Ökosystem: SQL-Injection ohne Konto, Codeausführung durch einen Mitarbeiter, Datei-Upload durch einen Autor. Die schweren Lücken stecken in den Plugins, die Inhalte importieren, erzeugen oder ausführen.
- Korrekturen vor der Ankündigung: Bei den Lücken mit veröffentlichten Daten war die korrigierte Version vor oder am Tag der Veröffentlichung verfügbar.
- Dasselbe Bild wie anderswo: Das Theme OceanWP zeigt denselben Abstand zwischen einem wenig betroffenen Theme und seinem Begleit-Plugin Ocean Extra (siehe die Lücken in OceanWP). Und die Chronologie des WordPress-Core erinnert daran, dass keine Software ohne Korrekturen auskommt.
So schützt du dich
- Aktualisiere alles: Ziele mit Stand 3. Oktober 2026 mindestens auf Astra 4.14.0, Starter Templates 4.7.6, Spectra 2.20.1 und Custom Fonts 2.1.17 (die letzten veröffentlichten Lücken jedes Produkts). Prüfe bei Astra Pro und Spectra Pro, ob die Updates über dein Konto bei Brainstorm Force ankommen.
- Aktiviere automatische Updates für das Theme und die kostenlosen Plugins; unser Leitfaden zu automatischen Updates erklärt, wie du das Risiko begrenzt, dass etwas kaputtgeht.
- Deinstalliere Starter Templates, sobald die Website importiert ist, und jedes Plugin des Ökosystems, das nicht gebraucht wird (siehe aufgegebene und unnötige Plugins).
- Begrenze die Konten: Fast alle diese Lücken erfordern ein Mitarbeiter- oder Autorenkonto. Vergib diese Rollen nur an Personen, die sie brauchen (Rollen und minimale Rechte).
- Ergänze eine Anwendungs-Firewall, um die Zeit zwischen Ankündigung und Update abzudecken (unser Vergleich der WordPress-Firewalls).
- Verfolge die Meldungen zum Theme und zu jedem Plugin, wie in unserer Methode zur Überwachung von Sicherheitslücken beschrieben.
Bei diesem letzten Punkt hilft WP Masquerade Pro. Es vergleicht täglich die installierten Versionen deiner Plugins und Themes mit der öffentlichen Datenbank WPVulnerability.net und schickt dir eine Lückenwarnung per E-Mail, mit Schweregrad und korrigierter Version. Im Mitgliederbereich fasst die Überwachung deiner Websites ausstehende Updates und verwundbare Websites zusammen. WP Masquerade warnt, es korrigiert weder das Theme noch die Plugins und ist keine Firewall: Das Update bleibt der entscheidende Schritt. Für die Wahl einer Firewall sieh dir unseren Vergleich der besten Sicherheits-Plugins für WordPress an.
Das Wichtigste in Kürze
- Das Theme Astra hat 4 veröffentlichte Lücken von 2020 bis zum 3. Oktober 2026, alle mit erforderlichem Konto und keine mit hohem Schweregrad.
- Die schweren Lücken des Ökosystems betreffen die Plugins: Astra Pro (SQL-Injection ohne Konto 2021, Codeausführung 2023), Starter Templates und Spectra.
- Keine ist von einer anerkannten Quelle als ausgenutzt dokumentiert; wo die Daten bekannt sind, erschienen die Korrekturen vor oder am Tag der Ankündigung.
- Aktualisiere Theme und Plugins und lösche Starter Templates, sobald die Website importiert ist.
Quellen
- WordPress.org: Theme Astra, Seite und aktive Installationen (externer Link, öffnet in neuem Tab)
- CVE.org: CVE-2024-2347, Astra 4.6.8 und älter (9. April 2024) (externer Link, öffnet in neuem Tab)
- CVE.org: CVE-2024-29768, Astra 4.6.4 und älter (27. März 2024) (externer Link, öffnet in neuem Tab)
- WordPress.org: Spectra Legacy, Seite und Änderungsprotokoll (externer Link, öffnet in neuem Tab)
Weitere herangezogene Quellen: weitere CVE-Einträge, Datenbanken von WPScan und Patchstack.
