WP BASE Booking WordPress-Plugin: Blind SQL-Injection
Zusammenfassung
Das WordPress-Plugin WP BASE Booking für Online-Terminbuchungen, Dienstleistungen und Veranstaltungen enthält in Versionen bis und mit 6.4.0 eine Blind SQL-Injection. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann über präparierte Anfragen Datenbankinhalte lesen, verändern oder löschen, einschliesslich Benutzerkonten und Kundendaten. Es sind weder Anmeldung noch Benutzerinteraktion nötig, und da Buchungsseiten öffentlich erreichbar sind, ist eine Installation damit aus dem Internet angreifbar.
Betroffen
- WP BASE Booking WordPress-Plugin (Slug wp-base-booking-of-appointments-services-and-events), Versionen bis und mit 6.4.0
- Versionen 6.3.1 und älter sind zusätzlich von weiteren kritischen Schwachstellen im selben Plugin betroffen (CVE-2026-61962), deshalb auf die neueste Version aktualisieren
Behoben in
- Version 6.5.0 oder neuer (gemäss CVE-Eintrag und Patchstack-Advisory). Vor dem Vertrauen im Changelog des Plugins überprüfen.
Umgehung
- Kein Workaround vom Hersteller veröffentlicht.
- Patchstack meldet eine Mitigation-Regel, die Angriffe bis zur Aktualisierung blockiert. Prüfen, ob sie auf den Websites aktiv ist.
- Falls die Aktualisierung nicht rasch möglich ist, das Plugin deaktivieren oder eine Web Application Firewall-Regel gegen SQL-Injection einsetzen.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
- Nicht im CISA-KEV-Katalog aufgeführt. Kein öffentlicher Proof of Concept gefunden.
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet Ausnutzung in Massenkampagnen.
Unsere Empfehlung
- Alle WordPress-Websites inventarisieren und erfassen, ob das Plugin WP BASE Booking installiert ist und welche Versionläuft.
- Plugin sofort auf Version 6.5.0 oder neuer aktualisieren; wenn möglich die neueste Version installieren.
- Falls sich das Update verzögert, Plugin deaktivieren oder eine WAF-Regel aktivieren.
- Web-Server- und Datenbank-Logs auf SQL-Injection-Muster prüfen und auf unerwartete Administratorkonten kontrollieren.
- Bei bestätigtem Datenabfluss mögliche Meldepflichten nach dem revDSG prüfen.
- Patchstack-Seite und NVD erneut prüfen, sobald deren Analyse vorliegt.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory: WP BASE Booking <= 6.4.0 SQL Injection patchstack.com
- Strix CVE record CVE-2026-103352 www.strix.ai
- OffSeq Radar: CVE-2026-103352 radar.offseq.com
- HOL Guard: CVE-2026-103352 WP BASE Booking 6.4.0 SQL injection hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:25.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.