Product Filter by WBW: Blind-SQL-Injection
Zusammenfassung
Das Plugin Product Filter by WBW für WooCommerce von WPFactory enthält eine Blind-SQL-Injection-Schwachstelle in den Versionen bis einschliesslich 3.4.6. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann durch gezielt manipulierte Anfragen Daten in der WordPress-Datenbank lesen, verändern oder löschen, einschliesslich Benutzerkonten und privater Kundendaten. Jeder öffentlich erreichbare Shop mit einer betroffenen Version ist gefährdet; der CNA-Score beträgt 9.3 (kritisch), VulDB listet 7.3. Version 3.4.7 behebt die Lücke.
Betroffen
- WPFactory Product Filter by WBW (WordPress-Plugin-Slug woo-product-filter) bis einschliesslich 3.4.6
- Die untere Grenze des betroffenen Bereichs ist nicht angegeben; frühere Versionen sind vermutlich betroffen, aber nicht bestätigt.
Behoben in
- Version 3.4.7 oder neuer (gemäss Patchstack und CNA).
Umgehung
- Kein Workaround des Herstellers bekannt.
- Patchstack hat für seine Kunden eine Schutzregel (Virtual Patch) veröffentlicht. Dies ist kein Herstellerfix und ersetzt das Update nicht.
- Falls das Update nicht sofort eingespielt werden kann, sollte das Plugin vorübergehend deaktiviert werden, sofern der Filter nicht geschäftskritisch ist. Dies ist eine Empfehlung, keine dokumentierte Massnahme des Herstellers.
Ausnutzung
- Nicht im Katalog CISA KEV gelistet; keine bestätigte Ausnutzung in freier Wildbahn.
- CISA SSVC: Exploitation none, automatisierbar ja, technische Auswirkung partiell.
- Patchstack beschreibt die Schwachstelle als hochgefährlich und erwartet eine Ausnutzung.
- Ein öffentliches GitHub-Repository behauptet eine Reproduktion auf 3.4.6. Der Inhalt wurde nicht überprüft; er ist als in Umlauf befindlicher Proof of Concept zu behandeln.
Unsere Empfehlung
- Prüfen, ob das Plugin installiert ist und welche Version aktiv ist, insbesondere auf WooCommerce-Shops.
- Sofort auf Version 3.4.7 oder neuer aktualisieren.
- Web-Server- und WordPress-Logs auf auffällige Filter- oder AJAX-Anfragen prüfen, sowohl vor als auch nach dem Update.
- Nach dem Update Datenbankbenutzer und Administratorkonten prüfen und bei Hinweisen auf Missbrauch Zugangsdaten zurücksetzen.
- Auf weitere Ausnutzungsversuche achten und das Plugin laufend aktuell halten.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
Hassham1/CVE-2026-112866-woo-product-filter-sqli-poc
Quellen der Recherche
- Patchstack advisory patchstack.com
- WordPress.org plugin page wordpress.org
- VulDB entry vuldb.com
- OpenCVE (CNA data, SSVC) app.opencve.io
- TheHackerWire (PoC and KEV status) www.thehackerwire.com
- GitHub proof-of-concept repository (unverified) github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:45.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.