RadiusTheme Radius Booking: Unauthentifizierte SQL-Injection

Zusammenfassung

Das WordPress-Plugin Radius Booking (Booking Calendar for Appointments & Services) enthält laut CVE-Eintrag in den Versionen bis 1.0.19 eine unauthentifizierte SQL-Injection (CWE-89); Patchstack nennt bis 1.0.20. Ein Angreifer kann über das Netzwerk ohne Anmeldung präparierte Anfragen senden und Datenbankinhalte lesen, verändern oder löschen, einschliesslich Kundennamen, Kontaktdaten und Buchungen. Eine korrigierte Version ist nicht bestätigt.

Betroffen

• RadiusTheme Radius Booking (WordPress-Plugin, Booking Calendar for Appointments & Services)
• Versionen bis einschliesslich 1.0.19 (CVE-Eintrag); Patchstack nennt bis 1.0.20
• Standardkonfiguration: laut CNA-Eintrag nicht betroffen; betroffen, wenn das Plugin in einer betroffenen Version installiert ist

Behoben in

Unbekannt. Es wurde weder eine Sicherheitsmitteilung des Herstellers noch eine korrigierte Version gefunden. Die aktuelle Version 1.0.19 auf wordpress.org liegt weiterhin im betroffenen Bereich.

Umgehung

Dem Hersteller ist keine Workaround-Massnahme bekannt. Mögliche Massnahmen:

• Plugin deaktivieren und entfernen, falls es nicht zwingend benötigt wird
• Falls es bleiben muss, den Zugriff auf die Buchungs-Endpunkte auf Webserver- oder WAF-Ebene einschränken; ein virtueller Patch ist nur sinnvoll, wenn der WAF-Anbieter eine Regel für diese CVE bereitstellt

Ausnutzung

• Nicht als aktiv ausgenutzt markiert; CISA SSVC bewertet die Ausnutzung als none, die Automatisierbarkeit als yes und die technische Auswirkung als partial
• Kein öffentlicher Proof of Concept und kein Exploit gefunden; Patchstack stuft die Lücke jedoch als hohe Priorität ein und erwartet eine Ausnutzung
• Patchstack hat eine Schutzregel veröffentlicht, die Angriffe blockiert

Unsere Empfehlung

• Prüfen, ob das Plugin auf WordPress-Seiten installiert ist und welche Version läuft
• Bei Installation und fehlendem Bedarf das Plugin deaktivieren und entfernen, bis eine korrigierte Version bestätigt ist
• Falls es benötigt wird, den Zugriff auf die Plugin-Endpunkte einschränken und eine WAF-Regel oder die Patchstack-Schutzregel aktivieren
• Webserver- und Datenbank-Logs auf ungewöhnliche Anfragen und Hinweise auf Datenzugriffe prüfen
• Bei Verdacht auf eine Kompromittierung die Exposition personenbezogener Daten gemäss revDSG beurteilen und Meldepflichten beachten
• Den Patchstack-Eintrag und das Changelog von RadiusTheme auf eine Korrektur überwachen

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Patchstack advisory (referenced by CVE) patchstack.com
• Strix AI CVE details www.strix.ai
• HOL Guard CVE details hol.org
• WordPress.org plugin page Radius Booking wordpress.org
• WordPress.org plugin page Radius Booking (en-ca) en-ca.wordpress.org
• RadiusTheme Radius Booking downloads www.radiustheme.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:21.