WP2LEADS WordPress-Plugin: SQL-Injection durch authentifizierte Abonnenten
Zusammenfassung
WP2LEADS, ein WordPress-Plugin, das WordPress und WooCommerce mit dem E-Mail-Marketing-Dienst KlickTipp verbindet, enthält in den Versionen bis und mit 3.5.7 eine SQL-Injection-Schwachstelle. Ein Angreifer mit einem Konto auf Abonnenten-Stufe kann SQL-Anweisungen einschleusen, wodurch Daten in der Website-Datenbank gelesen, verändert oder gelöscht werden können, einschliesslich Benutzerkonten. Der Angriff setzt ein angemeldetes Konto voraus, daher hängt das Risiko davon ab, ob nicht vertrauenswürdige Personen sich auf der Website registrieren können.
Betroffen
- WP2LEADS-Plugin bis und mit 3.5.7
- Erforderliche Berechtigung: Abonnent (authentifizierter Benutzer)
Behoben in
- Gemäss Patchstack in Version 3.5.12 behoben; im Changelog auf WordPress.org prüfen
Umgehung
- Offene Benutzerregistrierung deaktivieren, wo sie nicht benötigt wird, und bestehende Abonnenten-Konten überprüfen
- Plugin deaktivieren und entfernen, falls es nicht benötigt wird
- Patchstack meldet eine Schutzregel, die Angriffe bis zur Aktualisierung blockiert; beim Hosting-Anbieter oder bei einem WordPress-Firewall-Anbieter nach virtuellen Patches fragen
Ausnutzung
- Keine bekannte Ausnutzung in freier Wildbahn; nicht als bereits ausgenutzt gelistet
- CISA SSVC: Ausnutzung keine, nicht automatisierbar
- Kein öffentlicher Proof of Concept gefunden
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung
Unsere Empfehlung
- WP2LEADS auf Version 3.5.12 oder neuer aktualisieren; falls ein Update nicht möglich ist, das Plugin deaktivieren
- Prüfen, auf welchen Websites WP2LEADS installiert ist und ob die Abonnenten-Registrierung offen ist
- Datenbank- und Webserver-Logs auf ungewöhnliche Anfragen von Abonnenten-Konten prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack vulnerability advisory patchstack.com
- HOL Guard CVE-2026-25434 hol.org
- Strix CVE-2026-25434 www.strix.ai
- CVEBrief archive cvebrief.com
- WordPress.org WP2LEADS plugin page wordpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:25.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.