Transliterator WordPress-Plugin: Unauthentifizierte SQL-Injection

Zusammenfassung

Das WordPress-Plugin Transliterator bis und mit Version 2.5.13 enthält eine unauthentifizierte SQL-Injection-Schwachstelle (CWE-89). Ein entfernter Angreifer ohne Konto kann präparierte Anfragen an die Website senden und Datenbankabfragen beeinflussen. Gemäss dem Patchstack-Advisory kann dies das Lesen, Verändern oder Löschen von Datenbankinhalten ermöglichen, einschliesslich Benutzerkonten und privater Daten. Der CNA bewertet die Schwachstelle mit 9.3 (Kritisch), VulDB mit 7.3; die NVD-Analyse steht noch aus.

Betroffen

• Transliterator WordPress-Plugin, Versionen bis und mit 2.5.13

Behoben in

• Version 2.5.14 wird von Patchstack und dem CVE-Eintrag als gepatchte Version aufgeführt, ist in den Recherchenotizen aber nicht unabhängig verifiziert.
• Bestätigen Sie die Korrektur im Changelog des Plugins, bevor Sie sich darauf verlassen.

Umgehung

• Deaktivieren Sie das Plugin, falls keine korrigierte Version bestätigt werden kann; testen Sie dies vorab, da sich transliterierte Permalinks ändern können.
• Setzen Sie als Übergangsmassnahme eine Web Application Firewall mit SQL-Injection-Regeln ein.
• Beschränken Sie den Datenbankbenutzer von WordPress auf das minimal nötige Recht (Least Privilege).

Ausnutzung

• Gemäss OffSeq ist keine Ausnutzung in freier Wildbahn bekannt.
• VulDB gibt an, dass kein öffentlicher Exploit verfügbar ist.
• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
• Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung; das Fehlen von Treffern in der Recherche ist kein Beweis für das Fehlen einer Ausnutzung.

Unsere Empfehlung

• Prüfen Sie, ob das Transliterator-Plugin auf öffentlich erreichbaren WordPress-Websites installiert ist und welche Version aktiv ist.
• Aktualisieren Sie auf Version 2.5.14 oder neuer, sobald dies im Changelog des Plugins bestätigt ist; kann keine Korrektur bestätigt werden, deaktivieren Sie das Plugin.
• Entfernen Sie das Plugin, wenn es nicht benötigt wird.
• Überwachen Sie die Website und die Datenbank auf ungewöhnliche Anfragen und prüfen Sie Benutzerkonten auf unerwartete Änderungen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory patchstack.com
• VulDB entry 429315 vuldb.com
• OffSeq Radar threat entry radar.offseq.com
• WordPress.org plugin listing wordpress.org
• Strix AI CVE page www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 00:23.