Buddyboss Platform: SQL-Injection durch authentifizierte Subscriber
Zusammenfassung
BuddyBoss Platform, ein WordPress-Plugin für Community- und Mitgliederseiten, enthält in Versionen bis einschliesslich 3.1.0 eine SQL-Injection-Schwachstelle. Ein Angreifer mit einem Subscriber-Konto kann SQL-Befehle einschleusen, um Datenbankinhalte wie Benutzerkonten und private Daten zu lesen, zu ändern oder zu löschen. Der Angreifer benötigt ein angemeldetes Konto, das die Standardrolle für selbst registrierte Benutzer in WordPress ist, daher sind Seiten mit offener Registrierung am stärksten gefährdet.
Betroffen
- BuddyBoss Platform bis einschliesslich 3.1.0 (CVE-Eintrag)
- Patchstack führt Versionen unterhalb von 3.6.0 als verwundbar auf
- Vom Hersteller bestätigter Versionsbereich: nicht bestätigt
Behoben in
- Patchstack führt 3.6.0 als gepatchte Version auf
- BuddyBoss hat in den geprüften Quellen keine korrigierte Version und kein Veröffentlichungsdatum bestätigt
- Es darf nicht davon ausgegangen werden, dass 3.1.0 oder der Fix für CVE-2026-59514 diese Schwachstelle behebt
Umgehung
Unbekannt. In den geprüften Quellen wurde kein Workaround des Herstellers oder von Patchstack gefunden. Patchstack hat für seine Kunden eine Schutzregel zur Abwehr von Angriffen bereitgestellt.
Ausnutzung
- Nicht als aktiv ausgenutzt markiert (CISA KEV: No)
- In den geprüften Quellen wurde kein öffentlicher Proof of Concept gefunden
- CISA SSVC: Ausnutzung keine, automatisierbar nein
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet Ausnutzung in Massenkampagnen
Unsere Empfehlung
- Prüfen Sie, ob BuddyBoss Platform installiert ist und welche Version läuft.
- Aktualisieren Sie auf die neueste Version und bestätigen Sie die korrigierte Version in den Versionshinweisen von BuddyBoss oder im Patchstack-Eintrag.
- Deaktivieren Sie die offene Benutzerregistrierung oder genehmigen Sie neue Konten manuell.
- Überprüfen Sie alle Subscriber-Konten und entfernen Sie unbekannte oder inaktive Konten.
- Setzen Sie wenn verfügbar eine Web Application Firewall oder ein Virtual Patch vor die Seite.
- Halten Sie ein aktuelles Datenbank-Backup bereit und überwachen Sie unerwartete Datenbankfehler oder Änderungen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory for CVE-2026-39771 patchstack.com
- HOL Guard entry for CVE-2026-39771 hol.org
- Strix CVE record for CVE-2026-39771 www.strix.ai
- OffSeq radar entry for CVE-2026-39771 radar.offseq.com
- Qualys application security detections, October 2026 notifications.qualys.com
- BuddyBoss 3.0 changelog FAQ buddyboss.com
- BuddyBoss Platform releases on GitHub github.com
- BuddyBoss Platform add-on wiki on GitHub github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 11:23.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.