Mobile Builder WordPress-Plugin: Unauthentifizierte SQL-Injection über vendor_id
Zusammenfassung
Das WordPress-Plugin Mobile Builder bis und mit Version 1.4.2 bereinigt und maskiert den Parameter vendor_id nicht, bevor er in einer SQL-Anweisung verwendet wird. Ein nicht angemeldeter Angreifer kann durch gezielt manipulierte Anfragen Daten aus der WordPress-Datenbank auslesen und möglicherweise verändern. Betroffen ist jede aus dem Internet erreichbare Website, auf der das Plugin installiert ist, ohne dass eine Anmeldung erforderlich ist.
Betroffen
- WordPress-Plugin Mobile Builder (Slug mobile-builder), Versionen 0 bis 1.4.2
- Verwundbarer Parameter: vendor_id
Behoben in
- Unbekannt. Ein Fix des Herstellers ist nicht bestätigt; WPScan meldet 'No known fix'.
Umgehung
- Das Plugin Mobile Builder deaktivieren oder entfernen, bis eine bereinigte Version bestätigt ist.
- Regeln einer Web Application Firewall, die SQL-Injection-Muster erkennen, können einen vorübergehenden Schutz bieten; dies ist für diesen Parameter nicht verifiziert.
- Für die WordPress-Website ein Datenbankkonto mit minimalen Berechtigungen verwenden.
Ausnutzung
- Es wurde keine Ausnutzung in freier Wildbahn festgestellt; die CVE ist nicht in der CISA-KEV-Liste enthalten.
- EPSS liegt bei 0.19%. CISA SSVC: Exploitation none, Automatable yes.
- Der Status eines öffentlichen Proof of Concept ist unklar und zwischen den Quellen widersprüchlich.
Unsere Empfehlung
- WordPress-Websites auf das Plugin mobile-builder prüfen und die Version jeder Website erfassen.
- Auf Websites mit Version 1.4.2 oder älter das Plugin deaktivieren oder entfernen, insbesondere wenn die Website öffentlich erreichbar ist.
- Im WordPress.org-Verzeichnis oder beim Hersteller nach einer bereinigten Version suchen und jede Versionsangabe vor der Installation überprüfen.
- Web-Server- und Datenbankprotokolle auf Anfragen mit vendor_id und ungewöhnlichen Werten prüfen sowie auf unerwartete Administratorkonten oder Dateiänderungen achten.
- Die WPScan-Seite und die NVD regelmässig auf Änderungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan vulnerability record CVE-2026-103695 wpscan.com
- OpenCVE CVE-2026-103695 app.opencve.io
- VulDB CVE-2026-103695 vuldb.com
- Vulners VulnRichment CVE-2026-103695 vulners.com
- Strix CVE-2026-103695 www.strix.ai
- VulDB exploit entry 416499 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:03.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.