Woffice WordPress-Theme: SQL-Injection durch Subscriber-Konten
Zusammenfassung
Das WordPress-Theme Woffice bis und mit Version 5.4.35 enthält eine SQL-Injection-Schwachstelle (CWE-89). Ein Angreifer mit einem Subscriber-Konto mit niedrigen Rechten kann Daten in der WordPress-Datenbank lesen, ändern oder löschen, einschliesslich Benutzerkonten und Passwort-Hashes. Eine Benutzerinteraktion ist nicht erforderlich, und es wurde bisher keine korrigierte Version veröffentlicht.
Betroffen
- Woffice-Theme bis und mit Version 5.4.35
- Herstellername gemäss CVE-Eintrag: WofficeIO
Behoben in
Unbekannt. Zum Zeitpunkt der Prüfung wurde keine korrigierte Version veröffentlicht.
Umgehung
- Dem Hersteller oder Patchstack ist kein Workaround bekannt.
- Öffentliche Selbstregistrierung einschränken oder deaktivieren.
- Bestehende Subscriber-Konten auf unbekannte oder nicht genutzte Benutzer prüfen.
- Eine Web Application Firewall oder ein virtueller Patch Ihres Hosting- oder Security-Anbieters prüfen, sofern verfügbar. Für diese CVE nicht verifiziert.
Ausnutzung
- Nicht bekannt, dass die Schwachstelle aktiv ausgenutzt wird. In den geprüften Quellen nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Exploitation none, Automatable no.
- Patchstack stuft die Schwachstelle als mittlere Priorität ein und erwartet eine Ausnutzung.
Unsere Empfehlung
- Prüfen, ob Woffice installiert ist und welche Version verwendet wird.
- Websites bis 5.4.35 priorisieren, die offene Registrierung erlauben oder personenbezogene oder Kundendaten enthalten.
- Selbstregistrierung einschränken und Subscriber-Konten überprüfen.
- Den Herstellerfix nach Veröffentlichung einspielen. Falls keiner erscheint, Ersatz oder kompensierende Massnahmen planen.
- Den Patchstack-Eintrag und das Changelog des Herstellers überwachen und Web-Server- sowie Datenbank-Logs auf verdächtige Anfragen oder Fehler prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory: Woffice SQL injection (<= 5.4.35) patchstack.com
- HOL Guard: CVE-2026-39747 Woffice SQL injection hol.org
- Strix: CVE-2026-39747 www.strix.ai
- Patchstack: Multiple vulnerabilities patched in Woffice theme patchstack.com
- Patchstack: Woffice vulnerability list patchstack.com
- Wordfence: Woffice vulnerabilities www.wordfence.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:24.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.