Modern Events Calendar Lite Plugin: Blind SQL-Injection
Zusammenfassung
Das WordPress-Plugin Modern Events Calendar Lite vor Version 7.37.0 enthält eine Blind SQL-Injection-Schwachstelle (CWE-89). Ein Angreifer mit einem Konto mit niedrigen Berechtigungen, etwa einem Subscriber-Konto, kann präparierte Eingaben an die Datenbank senden und Daten lesen, verändern oder löschen, einschliesslich Benutzerkonten. Eine aktive Ausnutzung ist nicht bekannt, und die Analyse durch die NVD steht noch aus.
Betroffen
- Modern Events Calendar Lite (WordPress-Plugin), alle Versionen vor 7.37.0
- Erforderliche Berechtigung: niedrig (gemäss CVSS-Vektor PR:L; Patchstack nennt Subscriber)
Behoben in
- Version 7.37.0 oder neuer
Umgehung
- In den Quellen ist keine Workaround-Massnahme dokumentiert.
- Bis zur Aktualisierung die offene Benutzerregistrierung einschränken oder deaktivieren und Konten mit Anmeldeberechtigung überprüfen.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden; nicht im CISA-KEV-Katalog.
- Kein öffentlicher Proof-of-Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung teilweise.
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung, gemäss eigener Einschätzung.
Unsere Empfehlung
- WordPress-Installationen mit Modern Events Calendar Lite oder Pro inventarisieren und die Versionen erfassen.
- Auf Version 7.37.0 oder neuer aktualisieren, einschliesslich der Pro-Edition, falls installiert. Die weiteren SQL-Injection-Schwachstellen in denselben Versionen (CVE-2026-96534, CVE-2026-102499) mit demselben Update beheben.
- Prüfen, ob Subscriber- oder offene Registrierung aktiviert ist, und Konten mit Anmeldeberechtigung überprüfen.
- Bis zur Aktualisierung eine Web Application Firewall als Zwischenmassnahme in Betracht ziehen.
- Die Patchstack-Seite und die NVD auf Änderungen des Status und des CVSS-Werts überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- VulDB entry CVE-2026-105067 vuldb.com
- Vulners VulnRichment CVE-2026-105067 vulners.com
- Strix CVE-2026-105067 www.strix.ai
- CVE threatint record CVE-2026-105067 cve.threatint.com
- CVE threatint record CVE-2026-96534 cve.threatint.com
- Strix CVE-2026-102499 www.strix.ai
- GitHub repository Modern Events Calendar Lite github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:37.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.