Paid Member Subscriptions Plugin: SQL-Injection über Subscriber-Konten
Zusammenfassung
Das WordPress-Plugin Paid Member Subscriptions bis und mit Version 3.1.1 enthält eine SQL-Injection-Schwachstelle (CWE-89). Ein Angreifer mit einem angemeldeten Subscriber-Konto kann Datenbankinhalte lesen, verändern oder löschen, was auch Mitglieder- und zahlungsbezogene Daten betreffen kann. Websites mit offener Registrierung sind stärker gefährdet als Websites mit reiner Einladungsmitgliedschaft. Bisher wurde kein öffentlicher Proof of Concept und keine bekannte Ausnutzung gefunden.
Betroffen
- WordPress-Plugin Paid Member Subscriptions bis und mit 3.1.1
- Für die Ausnutzung ist ein Subscriber-Konto erforderlich
Behoben in
- Patchstack und der CVE-Eintrag nennen 3.1.2 als gepatchte Version.
- Dass der Hersteller (Cozmoslabs) diese Korrektur bestätigt hat, ist nicht belegt. Im Changelog von Cozmoslabs prüfen.
- Für Versionen bis 3.1.2 wird ein separates Problem gemeldet (CVE-2026-112842, Mittel, CVSS 6.5). Deshalb die neueste Version installieren und deren Changelog prüfen.
Umgehung
- Vom Hersteller veröffentlichte Workaround: keiner gefunden.
- Bis zum Patch neue Subscriber-Registrierungen einschränken oder prüfen und nicht genutzte Konten entfernen.
- Bei einem Patchstack-Abonnement auf virtuelle Patches in der Web Application Firewall prüfen.
Ausnutzung
- Nicht als bekannt ausgenutzt gelistet (CISA KEV: laut den geprüften Quellen nicht gelistet).
- EPSS-Wert: 0.28%.
- Kein öffentlicher Proof of Concept gefunden. Dies beweist nicht, dass keiner existiert.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.
Unsere Empfehlung
- Das Plugin Paid Member Subscriptions auf die neueste verfügbare Version aktualisieren, mindestens 3.1.2, und die Korrektur im Changelog bestätigen.
- Subscriber-Registrierungen prüfen und einschränken sowie nicht genutzte Konten entfernen.
- Die Website-Datenbank auf unerwartete Änderungen prüfen und die Zugriffsprotokolle auf ungewöhnliche Anfragen durchsehen.
- Auf Berichte über öffentliche Proof of Concepts oder Ausnutzung achten, da der Eintrag neu ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack vulnerability record patchstack.com
- Hol.org CVE-2026-105317 hol.org
- Strix CVE-2026-105317 www.strix.ai
- WPScan plugin overview wpscan.com
- Hol.org CVE-2026-112842 hol.org
- Patchstack article on earlier SQL injection fix patchstack.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:24.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.