Advanced Ads – Tracking WordPress-Plugin: Blind SQL-Injection
Zusammenfassung
Das Tracking-Add-on des WordPress-Plugins Advanced Ads (Plugin-Slug advanced-ads-tracking) enthält in Versionen vor 4.0.0 eine Blind SQL Injection Schwachstelle. Ein Angreifer kann mit präparierten Anfragen Datenbankinhalte lesen, verändern oder löschen, einschliesslich Benutzerkonten und privater Daten. Für die Ausnutzung ist Netzwerkzugriff auf die Website nötig; die CNA-Angaben gehen von einem Low-Privilege-WordPress-Konto aus, das ausreichen könnte. Das Core-Plugin Advanced Ads ist ein separates Produkt und wird durch dessen alleiniges Aktualisieren nicht behoben.
Betroffen
- Advanced Ads – Tracking (WordPress-Plugin, Slug advanced-ads-tracking) vor 4.0.0
- Bereich laut CNA-Eintrag: vor 4.0.0
- Abweichung: VulDB beschreibt das Problem als bis Version 3.x und bewertet es mit 6.3 (Medium); die CNA bewertet es mit 8.5
Behoben in
- Version 4.0.0 (laut Patchstack und OffSeq)
Umgehung
- Nicht nötig, wenn Version 4.0.0 oder neuer installiert ist.
- Falls ein Update nicht sofort möglich ist, das Tracking-Add-on deaktivieren oder entfernen, bis es gepatcht ist.
- Kein vom Hersteller veröffentlichter Zwischen-Workaround gefunden.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Exploit-Code in Metasploit oder Exploit-DB Stand 26. Okt 2026 indexiert.
- EPSS: 0.21 % (Perzentil 11).
- CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung; dies ist eine Einschätzung des Anbieters, keine bestätigte Ausnutzung.
- Ein Proof of Concept könnte kurz nach der Veröffentlichung auftauchen.
Unsere Empfehlung
- Alle WordPress-Websites inventarisieren und prüfen, ob das Add-on Advanced Ads – Tracking installiert ist und welche Version läuft.
- Auf Version 4.0.0 oder neuer aktualisieren oder das Add-on bis zur Aktualisierung deaktivieren.
- Registrierungseinstellungen prüfen und nicht benötigte Konten mit niedrigen Rechten entfernen.
- Logs auf ungewöhnliche Datenbankfehler oder Anfragen an Tracking-Endpunkte prüfen.
- Patchstack- und Herstellerhinweise nach dem Update erneut prüfen und auf öffentlichen Proof-of-Concept-Code achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- Advanced Ads Tracking documentation wpadvancedads.com
- OffSeq Radar (threat entry) radar.offseq.com
- VulDB entry vuldb.com
- Strix CVE entry www.strix.ai
- Advanced Ads changelog (WordPress.org) wordpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:55.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.