CP Multi View Event Calendar: SQL-Injection
Zusammenfassung
Das WordPress-Plugin CP Multi View Event Calendar von Codepeople enthält bis einschliesslich Version 1.4.41 eine SQL-Injection-Lücke (CWE-89). Ein Angreifer, der die Website über das Netzwerk erreichen kann und über ein gültiges Konto verfügt, möglicherweise mit niedrigen Rechten, könnte Datenbankinhalte lesen, ändern oder löschen, einschliesslich Benutzerdaten. Eine öffentliche Ausnutzung ist nicht bestätigt, und Patchstack stuft das Problem als niedrige Priorität ein, während der CVSS-Wert 8.5 beträgt.
Betroffen
- WordPress-Plugin CP Multi View Event Calendar (Slug cp-multi-view-calendar) von Codepeople
- Versionen bis einschliesslich 1.4.41
Behoben in
- Version 1.4.42 (laut Patchstack und den Daten der CNA; auf wordpress.org nicht bestätigt)
Umgehung
- Unbekannt. Kein Workaround des Herstellers gefunden.
- Falls das Update nicht möglich ist, den Hosting-Anbieter oder den Webentwickler um Unterstützung bitten.
- Die Deaktivierung des Plugins oder die Einschränkung des Zugriffs darauf ist eine allgemeine Option, keine Empfehlung des Herstellers.
Ausnutzung
- Keine öffentliche Ausnutzung bestätigt.
- Nicht im CISA-KEV-Katalog aufgeführt. EPSS-Wert 0.0027.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar.
Unsere Empfehlung
- Das Plugin auf Version 1.4.42 oder neuer aktualisieren.
- Die aktuelle Version auf wordpress.org prüfen, da die Veröffentlichung dort nicht verifiziert werden konnte.
- Das Plugin entfernen, falls es nicht benötigt wird.
- Benutzerregistrierung einschränken und bestehende Konten auf WordPress-Websites mit diesem Plugin überprüfen.
- Das Plugin auf die separate gespeicherte XSS-Lücke prüfen, die Versionen bis einschliesslich 1.4.43 betrifft.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- Vulners CVE record (CNA data) vulners.com
- Vulners NVD record vulners.com
- WordPress.org plugin page wordpress.org
- TheHackerWire CVE-2026-109901 www.thehackerwire.com
- Strix CVE-2026-109901 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:38.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.