BuddyPress-Plugin: Blind SQL-Injection
Zusammenfassung
Das WordPress-Plugin BuddyPress enthält eine Blind SQL-Injection-Schwachstelle (CWE-89) in den Versionen bis und mit 14.5.2. Ein Angreifer mit einem Konto mit niedrigen Rechten kann SQL-Befehle einschleusen und Datenbankinhalte auslesen, darunter Benutzerkonten und private Daten, wobei dies langsam ist und viele Anfragen erfordert. Patchstack stuft das Problem als hohe Priorität mit einem CVSS-Wert von 8.5 ein, VulDB gibt 6.3 an; die Analyse durch die NVD steht noch aus.
Betroffen
- BuddyPress WordPress-Plugin, Versionen bis und mit 14.5.2 (gemäss Patchstack und VulDB, 14.5.0 bis 14.5.2)
- Unbekannt: ob die Zweige 12.x und 11.x oder ältere Versionen betroffen sind
Behoben in
- Auf BuddyPress 14.5.3 oder neuer aktualisieren (Patchstack und OffSeq)
- Sicherheitsrelease 14.5.3, 12.7.3 und 11.6.3 von BuddyPress.org angekündigt; die Ankündigung nennt diese CVE nicht
Umgehung
- Unbekannt. Keine vom Hersteller dokumentierte Massnahme gefunden. Falls ein Update nicht sofort möglich ist, den Hostinganbieter oder Webentwickler um Unterstützung bitten; Patchstack meldet eine Mitigationsregel für seine Kunden.
Ausnutzung
- Gemäss OffSeq nicht als ausgenutzt bekannt; CISA SSVC: Exploitation none, Automatable no
- Kein öffentlicher Exploit-Code in Metasploit, Exploit-DB oder nuclei gefunden (OffSeq); VulDB: kein Exploit verfügbar
- Nicht in der CISA KEV gelistet; EPSS 0.29 %
- Patchstack erwartet eine Ausnutzung; der Status kann sich ändern, da der Eintrag erst wenige Tage alt ist
Unsere Empfehlung
- Prüfen, ob BuddyPress auf Kunden-WordPress-Seiten installiert ist und welche Version läuft.
- BuddyPress auf 14.5.3 oder neuer aktualisieren und die Zweige 12.x und 11.x auf eigene Korrekturen prüfen.
- Offene Selbstregistrierung einschränken, falls sie nicht benötigt wird.
- Web-Server- und WAF-Logs auf Datenbankfehler und wiederholte Anfragen an BuddyPress-Endpunkte prüfen.
- CVE-Eintrag und Herstellerankündigungen auf Änderungen überwachen.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
4m3rr0r/CVE-2026-115965
Quellen der Recherche
- Patchstack advisory patchstack.com
- BuddyPress.org security release 14.5.3, 12.7.3, 11.6.3 buddypress.org
- OffSeq CVE-2026-115965 radar.offseq.com
- VulDB 428359 vuldb.com
- Strix CVE-2026-115965 www.strix.ai
- WPScan BuddyPress wpscan.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:50.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.