GamiPress WordPress-Plugin: Blind SQL-Injection
Zusammenfassung
Das WordPress-Plugin GamiPress bis und mit Version 8.0.7 ist von einer Blind SQL-Injection-Schwachstelle (CWE-89) betroffen. Ein entfernter Angreifer kann durch Beobachtung der Anwendungsantworten und Antwortzeiten Daten aus der Datenbank ableiten, wodurch sensible Informationen wie Benutzerkonten und Kundendaten offengelegt werden können. Die benötigte Berechtigung ist niedrig, sodass möglicherweise ein registriertes oder wenig privilegiertes Konto ausreicht; dies ist durch die Quellen nicht bestätigt.
Betroffen
- GamiPress WordPress-Plugin bis und mit 8.0.7
- Früheste betroffene Version: Unbekannt (im CVE-Eintrag als n/a aufgeführt)
Behoben in
- Version 8.0.8 (von Patchstack als gepatchte Version angegeben)
- Aktuelle Version laut WordPress.org: 8.1.1 (nicht auf weitere Korrekturen geprüft)
Umgehung
- Patchstack-Kunden: Eine Mitigationsregel soll Angriffe blockieren, bis das Plugin aktualisiert ist
- Ohne Patch: WAF-Regeln, die auf die Erkennung von SQL-Injection-Mustern abgestimmt sind, können helfen; dies ist allgemeine Empfehlung und keine verifizierte Regel für diese CVE
Ausnutzung
- Ausnutzung in freier Wildbahn: nicht bestätigt
- Patchstack erwartet eine Ausnutzung (Prognose, kein bestätigter Angriff)
- Öffentlicher Proof of Concept: keiner gefunden, was aber nicht beweist, dass keiner existiert
- EPSS: 0.00211 (niedrig)
- Bewertungen widersprechen sich: CNA/Patchstack CVSS 8.5; VulDB CVSS 6.3
Unsere Empfehlung
- Prüfen, ob GamiPress auf einer WordPress-Website installiert ist, auch auf Kundenwebsites
- GamiPress auf Version 8.0.8 oder neuer aktualisieren
- Prüfen, ob Patchstack oder eine WAF die betroffenen Websites abdeckt
- Benutzerkonten und Logs auf ungewöhnliche datenbankbezogene Anfragen prüfen
- Websites für Mitgliedschaften, Treueprogramme oder Kundenkonten priorisieren
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- VulDB CVE entry vuldb.com
- VulDB vulnerability 425604 vuldb.com
- Vulners NVD entry vulners.com
- WordPress.org GamiPress plugin page wordpress.org
- HOL Guard CVE entry hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:14.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.