Smart Manager WordPress-Plugin: SQL-Injection über den Parameter access_privileges

Zusammenfassung

Das Smart-Manager-Plugin für WordPress zur Massenbearbeitung von WooCommerce ist in allen Versionen bis einschliesslich 8.97.0 über den Parameter 'access_privileges' für SQL-Injection anfällig. Ein authentifizierter Angreifer mit mindestens Subscriber-Zugriff kann bestehende SQL-Abfragen erweitern und sensible Daten aus der Datenbank auslesen, etwa Kundendaten, Bestellungen oder Benutzerzugangsdaten. Das Problem tritt nur auf Websites auf, auf denen ein Administrator eine rollenbasierte Deny-List-Konfiguration für Zugriffsrechte gespeichert hat, die das interne Modul 'access-privilege' nicht explizit sperrt.

Betroffen

• Smart Manager (WordPress-Plugin, Slug smart-manager-for-wp-e-commerce), alle Versionen bis einschliesslich 8.97.0
• Nur Websites mit einer rollenbasierten Deny-List-Konfiguration für Zugriffsrechte, die das Modul 'access-privilege' nicht explizit sperrt
• Standardkonfiguration: nicht betroffen (gemäss CNA)

Behoben in

• Widersprüchliche Angaben, nicht bestätigt. Quellen nennen 8.97.1 und 8.98.0 als erste korrigierte Version.
• Die korrigierte Version vor dem Einsatz im WordPress.org-Changelog oder in den Release-Notes des Herstellers prüfen.

Umgehung

• Zugriffsrechte prüfen und sicherstellen, dass das Modul 'access-privilege' für Rollen mit geringen Rechten explizit gesperrt ist (nicht vom Hersteller bestätigt).
• Offene Subscriber-Registrierung deaktivieren, falls nicht benötigt, und nicht genutzte Konten entfernen.
• Eine Web Application Firewall mit Regeln zur Erkennung von SQL-Injection als zusätzliche Schicht einsetzen (allgemeine Empfehlung, keine verifizierte Korrektur).
• Plugin deaktivieren, wenn es für den Geschäftsbetrieb nicht benötigt wird.

Ausnutzung

• Gemäss einem Aggregator nicht in KEV gelistet; keine Ausnutzung in freier Wildbahn bekannt (KEV-Katalog nicht direkt geprüft).
• Kein öffentlicher Proof of Concept in den Quellen bestätigt; technische Details sind öffentlich und die Lücke ist für Fachkundige vermutlich einfach nachzuvollziehen.
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
• EPSS: unbekannt.

Unsere Empfehlung

• Prüfen, ob Smart Manager auf WordPress- und WooCommerce-Websites installiert ist und welche Version läuft.
• Auf die korrigierte Version aktualisieren, sobald sie bestätigt ist, spätestens im nächsten Wartungsfenster.
• Zugriffsrechte prüfen und Konten mit geringen Rechten einschränken, insbesondere wenn die Subscriber-Registrierung offen ist.
• Protokolle auf ungewöhnliche Anfragen an das Plugin prüfen und Datenbankzugriffe überwachen.
• Status in KEV und EPSS in den kommenden Tagen erneut prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence advisory www.wordfence.com
• Trac changeset (code fix reference) plugins.trac.wordpress.org
• Trac: class-smart-manager-pro-access-privilege.php (8.93.0) plugins.trac.wordpress.org
• VulDB CVE-2026-18443 vuldb.com
• Positive Technologies advisory (vulners) vulners.com
• PluginCheck Smart Manager plugincheck.io
• Strix CVE-2026-18443 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:38.