Tickera WordPress-Plugin: Blind SQL-Injection

Zusammenfassung

Das Event-Ticketing-Plugin Tickera für WordPress ist bis und mit Version 3.6.0.6 von einer Blind SQL-Injection betroffen. Ein Angreifer kann gezielt manipulierte Anfragen senden, um Datenbankinhalte zu lesen, zu verändern oder zu löschen, einschliesslich Kunden- und Bestelldaten. Der CNA-Eintrag gibt an, dass keine Berechtigungen erforderlich sind; dies ist noch nicht bestätigt, und andere SQL-Injection-Lücken in Tickera setzten Staff-Zugriff voraus. Die Bewertungen unterscheiden sich je nach Quelle: CVSS 9.3 (CNA), 7.3 (VulDB) und 5.8 (eine Ansicht von Rapid7/Vulners).

Betroffen

• Tickera WordPress-Plugin (tickera-event-ticketing-system) bis und mit 3.6.0.6

Behoben in

• Auf Version 3.6.0.7 oder neuer aktualisieren (Version laut Patchstack; im Changelog des Herstellers überprüfen).
• WordPress.org listet aktuell Version 3.6.0.8.

Umgehung

Unbekannt. Es wurde keine temporäre Massnahme gefunden; eine gepatchte Version ist verfügbar.

Ausnutzung

• Nicht bekannt, dass die Lücke aktiv ausgenutzt wird; nicht im CISA-KEV-Katalog aufgeführt.
• CISA SSVC: Ausnutzung keine, automatisierbar ja.
• VulDB meldet keinen verfügbaren Exploit; es wurde kein öffentlicher Proof of Concept gefunden.
• Patchstack stuft die Lücke als hohe Priorität ein und erwartet eine Ausnutzung.
• EPSS-Wert: 0.00248.

Unsere Empfehlung

• Prüfen, ob das Tickera-Plugin installiert ist und welche Version läuft.
• Umgehend auf die neueste verfügbare Version aktualisieren.
• Prüfen, ob die Website unauthentifizierte Anfragen an den betroffenen Codepfad akzeptiert; bis zur Überprüfung als möglicherweise unauthentifiziert behandeln.
• Web-Server- und Plugin-Logs auf ungewöhnliche Anfragen prüfen und kontrollieren, ob auf Kundendaten zugegriffen wurde; bei einem Zugriff die Pflichten nach dem Schweizer DSG prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory patchstack.com
• OpenCVE CVE-2026-105889 app.opencve.io
• HOL Guard CVE-2026-105889 hol.org
• Rapid7 via Vulners vulners.com
• VulDB 416248 vuldb.com
• WordPress.org plugin listing wordpress.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 02:35.