WP Directory Kit: SQL-Injection über den Parameter 'main_field'
Zusammenfassung
Das WordPress-Plugin WP Directory Kit vor 1.6.3 bereinigt und maskiert den Parameter 'main_field' nicht, bevor er in einer SQL-Anweisung verwendet wird. Ein angemeldeter Benutzer mit der benutzerdefinierten Rolle Listing Admin oder einer höheren Rolle kann dies ausnutzen, um SQL-Injection-Angriffe durchzuführen, wodurch Datenbankinhalte wie Benutzer- oder Kundendaten offengelegt werden können. Anonyme Internetbenutzer können die Lücke nicht direkt ausnutzen. Die Bewertung ist widersprüchlich: Der vorliegende Eintrag zeigt CVSS 6.8, VulDB listet 4.7, und die NVD hat die CVE noch nicht bewertet.
Betroffen
- WP Directory Kit Versionen vor 1.6.3 (CVE-Eintrag: 0 bis vor 1.6.3; VulDB: bis 1.6.2)
Behoben in
- Version 1.6.3 oder neuer
Umgehung
- Keine vom Hersteller dokumentierte Workaround-Lösung.
- Falls ein Update nicht sofort möglich ist: Prüfen, wer die benutzerdefinierte Rolle Listing Admin besitzt, und diese Rolle bei Konten entfernen, die sie nicht benötigen, oder das Plugin vorübergehend deaktivieren.
Ausnutzung
- Nicht im CISA-KEV-Katalog aufgeführt.
- Bis 11. November 2026 wurde kein öffentlicher Exploit-Code und kein Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, nicht automatisierbar, teilweise technische Auswirkung.
Unsere Empfehlung
- Die installierte Plugin-Version jetzt prüfen und auf 1.6.3 oder neuer aktualisieren.
- Konten mit der Rolle Listing Admin oder höher überprüfen und reduzieren; für diese Konten starke Passwörter und Multi-Faktor-Authentifizierung erzwingen.
- Die Server-Logs auf ungewöhnliche Datenbankabfragen oder Zugriffe dieser Konten prüfen.
- Prüfen, ob auch die zugehörigen Korrekturen der Version 1.6.x eingespielt sind, da ältere Installationen für weitere SQL-Injection-Lücken in diesem Plugin anfällig sein können.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WPScan advisory wpscan.com
- CVE Record CVE-2026-118420 www.cve.org
- VulDB entry 435654 vuldb.com
- OffSeq Threat Radar radar.offseq.com
- OpenCVE CVE-2026-118420 app.opencve.io
- Patchstack advisory for CVE-2026-109197 (related 1.6.0 issue) patchstack.com
- WordPress.org plugin page en-ca.wordpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 13:34.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.