Newsmatic WordPress-Theme: Unauthentifizierte Blind SQL-Injection über den slug-Parameter

Zusammenfassung

Das Newsmatic-Theme für WordPress maskiert den Parameter 'slug' nicht ausreichend und verwendet keine vorbereiteten SQL-Anweisungen. Ein nicht angemeldeter Angreifer kann über das Netzwerk SQL-Abfragen an bestehende Datenbankabfragen anhängen. Damit lassen sich sensible Informationen aus der Datenbank extrahieren, etwa Benutzerkonten und Passwort-Hashes, auf jeder öffentlich erreichbaren Website mit dem betroffenen Theme.

Betroffen

• Newsmatic-Theme für WordPress, alle Versionen bis und mit 1.5.0
• Standardkonfiguration: nicht betroffen (gemäss CNA-Eintrag)

Behoben in

• Unbekannt. Version 1.5.1 wird in den CVE-Daten erwähnt, aber kein Changelog oder Herstellerhinweis bestätigt die Behebung.

Umgehung

• Kein Workaround des Herstellers gefunden.
• Prüfen, ob das Theme auf einer Website aktiv ist, und es deaktivieren oder ersetzen.
• Eine Entwicklerin oder einen Entwickler die Zeilen 265 bis 269 von functions.php in Version 1.5.0 prüfen lassen.
• WAF-Regeln, die den Parameter 'slug' filtern, können helfen; sie sollten sorgfältig getestet werden, da es keine Herstellerhinweise dazu gibt.
• Berechtigungen des Datenbankkontos einschränken und aktuelle Backups sicherstellen.

Ausnutzung

• Zum Zeitpunkt der Recherche ist keine Ausnutzung in freier Wildbahn bekannt.
• CISA KEV: laut einem Drittanbieter-Tracker nicht gelistet; CISA wurde nicht direkt geprüft.
• Zum Zeitpunkt der Recherche wurde kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
• EPSS: 0.42 % (Perzentil 37).

Unsere Empfehlung

• Jetzt prüfen, ob eine öffentlich erreichbare WordPress-Website Newsmatic in Version 1.5.0 oder älter verwendet.
• Das Theme wo möglich ersetzen oder deaktivieren, bis eine behobene Version bestätigt ist.
• Falls das Theme bleiben muss, die Behebung in Version 1.5.1 anhand des trac-Tickets 295677 bestätigen, bevor aktualisiert wird.
• Die oben genannten Workarounds anwenden und Datenbankberechtigungen einschränken.
• Webserver- und WAF-Logs auf verdächtige Werte im Parameter 'slug' überwachen und Datenbankzugriffe prüfen.
• Für aus dem Internet erreichbare Websites als hohe Priorität behandeln.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence record www.wordfence.com
• Trac ticket 295677 themes.trac.wordpress.org
• Newsmatic 1.5.0 functions.php (lines 265-269) themes.trac.wordpress.org
• Newsmatic 1.5.1 functions.php themes.trac.wordpress.org
• VulDB entry 428365 vuldb.com
• Strix CVE record www.strix.ai
• OffSeq threat radar entry radar.offseq.com
• Wordfence Newsmatic theme overview www.wordfence.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 02.11.2026 11:26.