WP BASE Booking: Blind SQL Injection im WordPress-Plugin
Zusammenfassung
Das WordPress-Plugin WP BASE Booking bis einschliesslich Version 6.4.0 ist anfällig für eine Blind SQL Injection (CWE-89). Ein angemeldeter Angreifer mit einem Konto mit niedrigen Rechten, etwa einer Subscriber-Rolle, kann manipulierte Eingaben an die Datenbank senden und Daten auslesen, darunter Kundendaten, Buchungsinformationen und WordPress-Benutzerdaten. Patchstack stuft die Lücke mit einem CVSS-Wert von 8.5 als hohe Priorität ein.
Betroffen
- WP BASE Booking WordPress-Plugin, Versionen bis und mit 6.4.0 (gemäss CNA-Daten)
- Ungeklärt: Eine Drittdatenbank gibt den betroffenen Bereich als unter 6.5.0 an; hier wurde der CNA-Bereich verwendet.
Behoben in
- Version 6.5.0 oder neuer (gemäss CNA und Patchstack; vor dem Einsatz im changelog auf WordPress.org oder beim Hersteller prüfen)
Umgehung
- Unbekannt. Es wurde keine vom Hersteller bestätigte Massnahme gefunden.
- Patchstack meldet eine virtuelle Patch-Regel, die Angriffe blockiert, bis das Plugin aktualisiert ist, sofern Ihre WAF oder Ihr Hoster dies anbietet.
Ausnutzung
- Nicht als aktiv ausgenutzt gelistet (CISA KEV: laut einer Drittquelle nicht gelistet).
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung teilweise.
- Patchstack erwartet eine Ausnutzung und verweist auf Einsatz in Massenangriffskampagnen.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Alle WordPress-Seiten mit WP BASE Booking erfassen, inklusive Staging- und vergessener Seiten.
- Sobald bestätigt, auf Version 6.5.0 oder neuer aktualisieren; ist das Plugin nicht geschäftskritisch und kann nicht sofort aktualisiert werden, deaktivieren.
- Konten mit niedrigen Rechten prüfen und nicht benötigte entfernen.
- Web- und Datenbanklogs auf auffällige Anfragen an Buchungs-Endpunkte überwachen.
- Nicht mit CVE-2026-103352 verwechseln: gleiches Plugin mit höherem Wert, separat zu verfolgen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- Strix CVE details www.strix.ai
- Install Guard CVE-2026-103066 hol.org
- Offseq threat radar radar.offseq.com
- Positive Technologies PT-2026-106169 vulners.com
- Qualys detections October 2026 notifications.qualys.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:26.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.