Participants Database WordPress-Plugin: Blind SQL-Injection
Zusammenfassung
Das WordPress-Plugin Participants Database bis und mit Version 2.7.8.5 enthält eine Blind-SQL-Injection-Schwachstelle (CWE-89) mit einem CVSS-Wert von 9.3 (kritisch). Gemäss Patchstack kann ein Angreifer die gesamte Datenbank lesen, verändern oder löschen, einschliesslich Benutzerkonten und personenbezogener Daten der Teilnehmenden. Patchstack meldet keinen offiziellen Patch und bisher keine bekannte Ausnutzung; die erforderlichen Berechtigungen werden in den Quellen uneinheitlich angegeben und sollten geprüft werden.
Betroffen
- WordPress-Plugin Participants Database, Version n/a bis und mit 2.7.8.5
- Patchstack listet die verwundbare Version als <= 2.7.8.5
Behoben in
- Unbekannt. Patchstack listet keinen offiziellen Patch als verfügbar.
- Es darf nicht davon ausgegangen werden, dass 2.7.8.4 oder 2.7.8.5 diese Schwachstelle behebt.
Umgehung
- Keine herstellerspezifische Massnahme bekannt.
- Patchstack bietet eine Schutzregel (Virtual Patch), die Angriffe blockiert, bis ein offizieller Patch verfügbar ist.
- Plugin deaktivieren und entfernen, falls es nicht benötigt wird.
Ausnutzung
- Bekannte Ausnutzung: Unbekannt. In den geprüften Quellen wurde keine bestätigte Ausnutzung gefunden.
- Öffentlicher Proof of Concept: keiner gefunden.
- Patchstack erwartet eine Ausnutzung der Schwachstelle; EPSS-Wert 0.00236 (niedrig).
- Gemäss CVSS-Vektor sind weder Authentifizierung noch Benutzerinteraktion nötig; Patchstack gibt als erforderliche Berechtigung Developer an, was dem Vektor widerspricht.
Unsere Empfehlung
- Alle Websites mit Participants Database in Version 2.7.8.5 oder älter identifizieren.
- Plugin dort deaktivieren, wo es nicht benötigt wird.
- Wo es benötigt wird, ein WAF oder den Patchstack-Virtual-Patch aktivieren und den Zugriff auf Formulare und Seiten des Plugins einschränken.
- Datenbank- und Admin-Logs auf auffällige Abfragen prüfen und auf Anzeichen einer Kompromittierung untersuchen.
- Aktuelles Backup und ein Datenbankkonto mit minimalen Rechten verwenden.
- Die Kanäle von Patchstack und xnau.com auf eine korrigierte Version überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- VulDB CVE entry vuldb.com
- NVD mirror (Vulners) vulners.com
- Vulnrichment (Vulners) vulners.com
- WPScan plugin page wpscan.com
- WordPress.org plugin page en-gb.wordpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:48.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.