Booknetic WordPress-Plugin: Blind SQL-Injection

Zusammenfassung

Das Buchungs-Plugin Booknetic für WordPress ist von einer Blind-SQL-Injection-Schwachstelle (CVE-2026-39746) mit einem CVSS-Wert von 9.3 (Critical) betroffen. Die Schwachstelle kann ohne Authentifizierung ausgenutzt werden, sodass ein Angreifer, der die Website erreichen kann, Datenbankinhalte lesen, verändern oder löschen könnte, einschliesslich Kundendaten und WordPress-Benutzerkonten. Patchstack stuft die Lücke als hohe Priorität ein und erwartet eine Ausnutzung, in den geprüften Quellen wurde jedoch keine bestätigte Ausnutzung gefunden.

Betroffen

• Booknetic WordPress-Plugin, Versionen vor der korrigierten Version (siehe Behoben)
• Die Quellen widersprechen sich bezüglich des betroffenen Bereichs: Die CVE-Daten nennen vor 5.10.3, ein OpenCVE-Spiegel nennt vor 5.10.4, und abgeleitete Beschreibungen nennen 4.8.5 und frühere Versionen
• Erforderliche Berechtigung: keine (nicht authentifiziert)

Behoben in

• Auf 5.10.3 oder neuer aktualisieren, wie in den CVE-Daten und im Patchstack-Advisory angegeben
• Nicht verifiziert: Ein OpenCVE-Spiegel nennt 5.10.4 als korrigierte Version. Vor der Einführung die korrekte Version anhand des Changelogs des Herstellers bestätigen

Umgehung

• Kein Workaround des Herstellers gefunden.
• Bis eine verifizierte korrigierte Version installiert ist: Plugin deaktivieren, falls es nicht geschäftskritisch ist, oder eine Web Application Firewall vor dessen Endpunkte setzen.
• Datenbankberechtigungen des WordPress-Datenbankbenutzers einschränken.

Ausnutzung

• CISA-SSVC-Bewertung: Ausnutzung none, automatisierbar yes, technische Auswirkung partial.
• In den geprüften Quellen nicht als bekannt ausgenutzt (CISA KEV) aufgeführt; die Momentaufnahmen stammen aus dem frühen Oktober 2026.
• Patchstack gibt an, dass die Schwachstelle voraussichtlich ausgenutzt wird und in Massenangriffskampagnen eingesetzt wird.
• Kein öffentlicher Proof of Concept gefunden.

Unsere Empfehlung

• Alle WordPress-Installationen mit Booknetic identifizieren und umgehend auf eine Version aktualisieren, die anhand des Changelogs des Herstellers bestätigt wurde.
• Falls ein Update nicht sofort möglich ist, Plugin deaktivieren oder WAF-Regeln anwenden.
• Web- und Datenbanklogs ab dem 6. Oktober 2026 auf auffällige Anfragen an Booknetic-Endpunkte prüfen.
• Bei Verdacht auf eine Kompromittierung Datenbank- und WordPress-Zugangsdaten rotieren.
• Zusätzlich auf CVE-2026-25439 prüfen (Authentifizierungsumgehung in Booknetic bis 4.8.5) und beide Lücken gemeinsam patchen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory (linked in CVE data) patchstack.com
• Strix CVE-2026-39746 www.strix.ai
• HOL CVE-2026-39746 hol.org
• OpenCVE mirror (conflicting fixed version) app.opencve.io
• CVE Brief archive 2026/10/06 cvebrief.com
• Strix CVE-2026-25439 (related Booknetic flaw) www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:22.