Tribulant Newsletters-Plugin: SQL-Injection
Zusammenfassung
Das WordPress-Plugin Newsletters (newsletters-lite) von Tribulant Software enthält eine SQL-Injection-Schwachstelle in den Versionen bis 4.18.1. Ein Angreifer kann über манipulierte Anfragen an die Website Daten in der Datenbank lesen, verändern oder löschen, einschliesslich Benutzerkonten und privater Daten. Der CVSS-Vektor geht davon aus, dass keine Authentifizierung nötig ist, dies ist jedoch nicht vollständig bestätigt, da das Changelog des Herstellers für Version 4.18.1 eine SQL-Injection beschreibt, die nur Administratoren ausnutzen können.
Betroffen
- WordPress-Plugin Newsletters (newsletters-lite), Versionen bis und mit 4.18.1 gemäss Patchstack und CNA
- Die Versionsangaben im Changelog des Herstellers und bei VulDB weichen voneinander ab; die installierte Version ist zu prüfen
Behoben in
- Gemäss Patchstack ist Version 4.18.2 die korrigierte Version; auf 4.18.2 oder neuer aktualisieren
- Der Hersteller hat nicht ausdrücklich bestätigt, dass 4.18.2 genau diese Schwachstelle behebt
Umgehung
Unbekannt. Es wurde kein Workaround des Herstellers gefunden. Patchstack stellt eine Mitigationsregel bereit, die Angriffe bis zur Aktualisierung blockiert. Eine Web Application Firewall oder ein Virtual Patch kann helfen, die Wirksamkeit gegen diese Schwachstelle ist jedoch nicht verifiziert.
Ausnutzung
- Nicht im CISA-KEV-Katalog; die SSVC-Daten der CISA bewerten die Ausnutzung als none und die Automatisierbarkeit als yes
- Kein öffentlicher Proof of Concept gefunden
- Patchstack erwartet eine Ausnutzung, dies ist jedoch eine Prognose und kein beobachtetes Ereignis
Unsere Empfehlung
- Prüfen, ob das Plugin installiert ist und welche Version läuft; sofort auf 4.18.2 oder neuer aktualisieren
- Falls kein Update möglich ist, den Hostinganbieter oder Webentwickler um Hilfe bitten und eine WAF oder die Mitigationsregel von Patchstack in Betracht ziehen
- Benutzer- und Abonnententabellen auf unerwartete Änderungen prüfen
- Webserver-Logs auf verdächtige Anfragen überwachen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory (CVE-2026-111402) patchstack.com
- WordPress.org plugin page (Newsletters Lite changelog) wordpress.org
- OpenCVE entry CVE-2026-111402 app.opencve.io
- VulDB entry 426082 vuldb.com
- PSIRT CVE-2026-111402 psirt.com
- ThreatInt CVE-2026-111402 cve.threatint.com
- The Hacker Wire CVE-2026-111402 www.thehackerwire.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:45.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.