Workreap Core: Blind SQL-Injection im WordPress-Plugin
Zusammenfassung
Das WordPress-Plugin Workreap Core von AmentoTech, das mit dem Workreap Freelance Marketplace Theme eingesetzt wird, enthält in Versionen vor 3.4.4 eine Blind SQL Injection (CWE-89). Ein Angreifer, der gezielt Anfragen senden kann, kann Datenbankinhalte lesen, ändern oder löschen, einschliesslich Benutzerkonten und privater Daten. Laut Patchstack benötigt der Angreifer ein Konto mit niedrigen Rechten (Subscriber), weshalb Websites mit offener Registrierung stärker gefährdet sind. Der CVSS-Wert ist umstritten: Der CVE-Eintrag nennt 8.5, VulDB nennt 4.7.
Betroffen
- Workreap Core WordPress-Plugin, alle Versionen vor 3.4.4 (die Quellen unterscheiden sich beim Beginn des Bereichs: n/a oder 0; VulDB nennt bis 3.4.3)
- Benötigte Berechtigung: Subscriber (laut Patchstack)
Behoben in
- Auf Workreap Core 3.4.4 oder neuer aktualisieren (laut Patchstack und VulDB)
- Kein Herstellerhinweis gefunden; vor dem Rollout die Release Notes von AmentoTech prüfen
Umgehung
- Vom Hersteller unbekannt. Patchstack empfiehlt nur das Aktualisieren oder die Unterstützung durch den Hosting-Anbieter oder Entwickler.
- Zwischenmassnahmen (eigene Empfehlung, nicht aus einer Quelle): WAF-Virtual-Patch, Selbstregistrierung und Anmeldungen einschränken, Datenbank und Benutzerkonten auf Missbrauch prüfen.
Ausnutzung
- Nicht als aktiv ausgenutzt markiert; kein Eintrag im CISA-KEV-Katalog gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung teilweise.
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung; dies ist eine Prognose und kein Nachweis.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Workreap Core auf allen Websites sofort auf 3.4.4 oder neuer aktualisieren.
- Prüfen, ob Kunden das Plugin in einer Version vor 3.4.4 einsetzen, und Websites mit offener Registrierung priorisieren.
- Nach dem Patchen Benutzerkonten, Datenbankinhalte und Webserver-Logs auf Missbrauch prüfen.
- Falls kein Update sofort möglich ist, einen WAF-Virtual-Patch in Betracht ziehen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack: WordPress Workreap Core plugin < 3.4.4 SQL Injection patchstack.com
- VulDB entry 425290 vuldb.com
- HOL Guard: CVE-2026-112822 hol.org
- OffSeq Radar: CVE-2026-112822 radar.offseq.com
- Strix: CVE-2026-112822 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:15.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.