Media Library Assistant WordPress-Plugin: Blind SQL-Injection
Zusammenfassung
Das WordPress-Plugin Media Library Assistant bis und mit Version 3.42 enthält eine Blind SQL-Injection-Schwachstelle (CWE-89). Ein Angreifer mit einem Konto mit niedrigen Berechtigungen auf einer WordPress-Website kann SQL-Befehle einschleusen und Datenbankinhalte lesen, verändern oder löschen, einschliesslich Benutzerkonten und privater Daten. Eine aktive Ausnutzung ist nicht bekannt, und es wurde kein öffentlicher Proof of Concept gefunden.
Betroffen
- WordPress-Plugin Media Library Assistant (Slug media-library-assistant) ab unbekannter Startversion bis einschliesslich 3.42
- CVSS 3.1 Basisscore 8.5 (AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:L)
Behoben in
- Version 3.43 laut Patchstack; die Fix-Version ist im Changelog auf WordPress.org noch nicht bestätigt
Umgehung
- Keine vom Hersteller dokumentierte Workaround bekannt.
- Falls kein Update möglich ist, das Plugin bis zur Behebung deaktivieren.
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt.
- CISA SSVC: Ausnutzung none, automatisierbar no.
- Kein öffentlicher Proof of Concept gefunden.
- Patchstack stuft die Priorität als niedrig ein und hält eine Ausnutzung für unwahrscheinlich; die Quellen widersprechen sich bezüglich des Schweregrads.
Unsere Empfehlung
- Plugin auf Version 3.43 oder neuer aktualisieren und die Version vor dem Rollout auf der WordPress.org-Plugin-Seite bestätigen.
- Alle WordPress-Websites auf dieses Plugin prüfen, zuerst Websites mit Benutzerkonten unterhalb der Administratorstufe und Websites von Kunden.
- Benutzerkonten prüfen und nicht benötigte Konten mit niedrigen Berechtigungen entfernen.
- Web- und Datenbanklogs auf ungewöhnliche SQL-Fehler oder Anfragen an das Plugin überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- WordPress.org plugin page wordpress.org
- WPScan plugin page wpscan.com
- OpenCVE CVE-2026-115948 app.opencve.io
- Strix CVE-2026-115948 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:07.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.