Crowd Favorite DXP ToolKit: SQL-Injection im WordPress-Plugin
Zusammenfassung
Das WordPress-Plugin DXP ToolKit von Crowd Favorite enthält eine SQL-Injection-Schwachstelle (CWE-89). Gemäss den CVE-Daten kann ein nicht authentifizierter Angreifer über speziell präparierte Anfragen auf die Datenbank zugreifen. Eine erfolgreiche Ausnutzung kann das Lesen, Verändern oder Löschen von Datenbankinhalten ermöglichen, einschliesslich Benutzerkonten. Patchstack stuft die Schwachstelle als hohe Priorität ein, mit einem CVSS-3.1-Basiswert von 9.3.
Betroffen
- Crowd Favorite DXP ToolKit (WordPress-Plugin) bis und mit Version 2.0.1
- Unbekannt, ob Versionen zwischen 2.0.1 und 2.0.2 existieren.
Behoben in
- Version 2.0.2 oder neuer (WordPress.org). Das Changelog zu 2.0.2 nennt eine Korrektur einer SQL-Injection über den Suchparameter des Pagination-Endpunkts für Rulesets. Die Zuordnung dieser Korrektur zu CVE-2026-115607 ist eine Ableitung aus Aggregatordaten.
Umgehung
- Kein Workaround des Herstellers gefunden.
- Plugin bis zum Update deaktivieren (Empfehlung, nicht aus einer Quelle).
- Zugriff auf die REST-Routen dxptoolkit/v1 auf dem Webserver oder via WAF einschränken (Empfehlung, nicht aus einer Quelle).
Ausnutzung
- Gemäss OffSeq nicht bekannt, dass die Schwachstelle ausgenutzt wird. Nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
- In unseren Recherchen wurde kein öffentlicher PoC gefunden; ein öffentlicher PoC kann nicht vollständig ausgeschlossen werden.
Unsere Empfehlung
- DXP ToolKit auf allen WordPress-Sites prioritär auf Version 2.0.2 oder neuer aktualisieren.
- Falls ein Update nicht sofort möglich ist, das Plugin deaktivieren oder den Zugriff auf dessen REST-Routen einschränken.
- Server-Logs auf ungewöhnliche Anfragen an die REST-Routen dxptoolkit prüfen.
- Nach Veröffentlichung das Patchstack-Advisory und den NVD-Eintrag prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory: WordPress DXP ToolKit plugin <= 2.0.1 SQL injection patchstack.com
- WordPress.org plugin changelog (en-gb), DXP ToolKit en-gb.wordpress.org
- WordPress.org plugin page, DXP ToolKit wordpress.org
- OffSeq Radar: CVE-2026-115607 radar.offseq.com
- OffSeq Radar: aggregated SQL injection entry (affected <2.0.2, fixed in 2.0.2) radar.offseq.com
- Strix: CVE-2026-115607 www.strix.ai
- VulDB entry 427982 vuldb.com
- CVE aggregator: CVE-2026-115607 cve.threatint.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:32.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.