BuddyPress: SQL-Injection im WordPress-Plugin
Zusammenfassung
Das WordPress-Plugin BuddyPress bis und mit Version 14.5.2 enthält eine SQL-Injection-Schwachstelle (CWE-89). Ein Angreifer mit einem angemeldeten Konto mit niedrigen Berechtigungen, zum Beispiel einem Subscriber-Konto, kann präparierte Anfragen senden, um Datenbankinhalte zu lesen, zu verändern oder zu löschen, einschliesslich Benutzerkonten und privater Daten. Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet Ausnutzungsversuche.
Betroffen
- BuddyPress von n/a bis und mit 14.5.2 (WordPress-Plugin)
Behoben in
- Auf BuddyPress 14.5.3 oder neuer aktualisieren (gemäss CNA-Eintrag und Patchstack).
Umgehung
- Dem Hersteller ist keine Workaround-Massnahme bekannt.
- Patchstack hat eine Schutzregel veröffentlicht, die Angriffe blockiert, bis das Plugin aktualisiert ist.
- Bis zur Aktualisierung kann die offene Benutzerregistrierung eingeschränkt und die Subscriber-Konten können überprüft werden (Übergangsmassnahme, vom Hersteller nicht bestätigt).
Ausnutzung
- Ausnutzung ist nicht bekannt.
- Nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung teilweise.
- EPSS: 0.21 % (Perzentil 11).
Unsere Empfehlung
- Alle WordPress-Installationen inventarisieren und prüfen, ob BuddyPress 14.5.2 oder älter installiert ist.
- BuddyPress auf allen betroffenen Installationen auf 14.5.3 oder neuer aktualisieren.
- Bis dahin die offene Registrierung einschränken und Konten mit niedrigen Berechtigungen überprüfen.
- Logs auf ungewöhnliche Datenbankfehler oder unerwartete Abfragen prüfen.
- Die Überschneidung mit CVE-2026-115965 prüfen, bevor dieser Punkt abgeschlossen wird.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory for BuddyPress 14.5.2 SQL injection patchstack.com
- VulDB entry CVE-2026-111850 vuldb.com
- Strix CVE record CVE-2026-111850 www.strix.ai
- CVE threatint record CVE-2026-111850 cve.threatint.com
- OffSeq radar CVE-2026-111850 radar.offseq.com
- WordPress.org BuddyPress plugin page wordpress.org
- BuddyPress blog buddypress.org
- Strix CVE record CVE-2026-115965 (related) www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:55.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.